[메모리 포렌식] GrrCON 2015 #6

비밀번호를 찾아야 하는 문제입니다.

 

#5번에서 찾은 pid가 2996인 프로세스를 memdump 플러그인으로 덤프해보겠습니다.

 

-p 옵션으로 pid를 지정해주고, -D 옵션으로 저장할 위치를 설정해줍니다.

 

그리고 strings 프로그램으로 가시성이 좋게 변환해줍니다.

 

#5에서의 레지스트리 키인 MrRobot을 검색해보면, Password1234 형식의 문자열인 GrrCon2015가 나옵니다.