Misc

美人鲸

三重隐写

一共有这些文件

打开文件看了一眼，看到了

当然了，还有一个文件也叫you know lsb什么的
音频隐写参考 www.sqlsec.com/2018/01/ctf… ，写得很全
现装了SilentEye，解一下

uFSARLVNwVIewCY5

看起来啥都不像，推测是别的文件的密码，用mp3stego解另一个文件试试？

成功解出压缩包密码

VvLvmGjpJ75GdJDP

还有最后一个文件没用，但是试了老半天也没弄出来，最后拖进了给的软件

？？？看起来像个什么条码，PotPlayer按ctrl+f1，另存专辑封面读一下

AES key: 1ZmmeaLL^Typbcg3

输入软件

hgame{i35k#zIewynLC0zfQur!*H9V$JiMVWmL}

交上去已经第六了...师傅们太强了我的妈呀

日常

Blind？盲水印？

参见 www.jianshu.com/p/1746bffa6…

打开实在看不出来，加了个滤镜

VeraCrypt Password is X0YAlGDuZF$echCy

下载VeraCrypt并解密，发现不对，后来发现这文件竟然有六分钟？人家b站原版才三分多钟啊

binwalk分析一下音频

有一个压缩包，binwalk -e提取

然后提取出来的就是VeraCrypt解密的部分了，挂载到A盘

打开第一个看了看，是一个SQLite的包，从没听说过，（经过漫长的搜寻）发现可以用SQLite Expert Professinal 3来打开（此处是错误思路），照着 blog.csdn.net/m0_37442062… 画瓢，终于在Data中发现了

啊！亲切的字眼！

有一个加密了的blob

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

在这里花了一个晚上也没发现是怎么解密的，后来在另一个文件中发现了mimikatz的字眼，以下是ObjectNF-PC.txt文件的内容

mimikatz # privilege::debug
Privilege '20' OK

mimikatz # hostname
ObjectNF-PC (OBJECTNF-PC)

mimikatz # sekurlsa::logonPasswords

Authentication Id : 0 ; 424779 (00000000:00067b4b)
Session           : Interactive from 1
User Name         : hgame2020
Domain            : ObjectNF-PC
Logon Server      : OBJECTNF-PC
Logon Time        : 1/29/2020 3:10:26 PM
SID               : S-1-5-21-3375469711-1363829938-1291733684-1001
        msv :
         [00010000] CredentialKeys
         * NTLM     : 1563a49a3d594ba9c034ee831161dfde
         * SHA1     : *****
         [00000003] Primary
         * Username : hgame2020
         * Domain   : ObjectNF-PC
         * NTLM     : 1563a49a3d594ba9c034ee831161dfde
         * SHA1     : *****
        tspkg :
        wdigest :
         * Username : hgame2020
         * Domain   : ObjectNF-PC
         * Password : *****
        kerberos :
         * Username : hgame2020
         * Domain   : ObjectNF-PC
         * Password : (null)
        ssp :
        credman :

上网查了好久，发现mimikatz是一个windows下的凭证获取软件，那么怎么利用这个软件拿到flag呢？

又经过了漫长的搜寻（对我这种人来说这就是个信息收集比赛...），终于找到了 mimikatz解Chrome的cookies的方法 www.bus123.net/11173.html 翻译得很烂，但是大致意思能懂，然后又找到了 www.anquanke.com/post/id/158… ，详细解释了各种方法和在其他电脑解密Cookies需要的前序条件和方法

到了这里，才终于知道为什么之前在各种SQLite的可视化软件中没有看到在Notepad++中看到的各种网站的字眼，原来是我的方法不对？！这虽然是个sqlite格式，但是根本就不是用这些sqlite浏览器打开的啊！（此处走上正轨但仍然不是正解...）

本地管理员权限打开mimikatz.exe，先试试本机Chrome的Cookies，这里要注意文件路径绝对不能出现中文，但可以有空格

再看看题目给的

需要{20dfa1c6-d232-40cd-89ec-5678b380920b}的Master Key，而题中给了这个文件

解密Mastekey file需要开机密码（不知道是不是叫这个？），题中给了NTLM格式， www.cmd5.com/ 解一下

dpapi::masterkey /in:"filepath\masterkey_filename"

只能看到master key最基本的格式，需要登陆密码，但是密码却被打星了... 在尝试了mimikatz长达三个半小时后（为了300分不容易），看到了这篇文章，提到了一个解密blob的工具Passcape Windows Password Recovery，抱着试试的心态试了一下，密码也是随便填的之前的NTLM解出的值