[Root-me] : Command & Control - level 5

비밀번호 추출

volatility 이용

1. image 에서 memory profile 추출

volatility imageinfo -f ch2.dmp 

2. image 에서 registry hive 추출

volatility -f ch2.dmp hivelist --profile=Win7SP1x86_23418

3. 해시값 추출. (SYSTEM & SAM)

volatility -f ch2.dmp --profile=Win7SP1x86_23418 hashdump -y 0x8b21c008 -s 0x9aad6148 >hashes.txt

md5 해시인 것으로 추정. -> John 의 pw를 찾아야 하므로, 

b9f917853e3dbf6e6831ecce60725930 가 그의 pw 이다.

crackstation을 이용해서 복호화를 ㅅ ㅣ도했다.

flag : passw0rd