TURKCELL CYBER CAMP'19 WRITEUP

                 

Link: https://mega.nz/#!2WIlhaRL!od3eaJNQngSqZ0v_oyGZAwJ86eKSQlyl5U-M381i098

Alternatif: https://download.cybercamp2019.com/cybercamp_mem

Soruda bize bir .mem uzantılı bir imaj dosyası veriliyor ve cyber camp kullanıcısının parolası soruluyor.Bunun için volatility toolunu kullanmamız gerekir.

Burada ilk olarak Win7SP1x64 işletim sistemi verilmiş.Yani memory dump'ın(bellek dökümünün) buradan alınmış olma ihtimali çok yüksek.O yüzden ilk başta bu işletim sisteminden yola çıkarak analiz yapalım...
Windowsta kullanıcı parolaları NTLM hash şeklinde SAM dosyasında saklanır.Profili hashdump uzantısıyla çalıştırırsak NTLM hashlerinin bulunduğu SAM dosyalarına erişebiliriz..

Tatammm!! cybercamp kullanıcısı tam da karşımızda ..
Kullanıcının hash değeri de verilmiş bunubir NTLM hash kırıcısı ile kırarsak..

Cybercamp kullanıcısının parolası Aa123456 imiş.
Flag{ Aa123456 }