---
description: file iin tegj bgad google drive deer tawichyo HZ github deeree mod tawihgui bh
---

# heavy one ( forensics )

**За мэдээж эхлээд imageinfo-гоор тохирох profile-аа олноо**

<figure><img src="https://3374622158-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FE6qr56iNnQWIFa0iLTZX%2Fuploads%2FTKkzzwfGpYegDlviv7OI%2Fimage.png?alt=media&#x26;token=63aed9f1-cd56-47cf-a760-fe9ff64871a0" alt=""><figcaption></figcaption></figure>

pslist-ээр chrome.exe дээр хйисэн үйлдлүүдийг олсон. Даалгавар магадгүй Google Chrome-с мэдээлэл гаргаж авах байж магадгүй гэж бодсон.&#x20;

<figure><img src="https://3374622158-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FE6qr56iNnQWIFa0iLTZX%2Fuploads%2FGZs0NTU7Vix3bZNfKJmx%2Fimage.png?alt=media&#x26;token=aa57d627-b7c2-4c5b-b902-5cb86469f863" alt=""><figcaption></figcaption></figure>

filescan-аар ямар2 файлууд ашигласан бэ гэдгийг олоод дотроос нь **heavy** гэсэн даалгаврын нэрээр хайлт хийхэд **`heavy_ad_intervention_opt_out.db`** нэртэй database файл байсан. Гэвч энэхүү файлыг татаж авах үед алдаатай хуулагдааж байсан учраас нийтэд нь буюу **\Google\Chrome\User Data\Default\History** энэ замаар **`0x000000003e676ae0`** offset-тэй мэдээллийг dump хийж авахаар шийдсэн.

<figure><img src="https://3374622158-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FE6qr56iNnQWIFa0iLTZX%2Fuploads%2FzCJO7hxUPGfbK3K1cGwd%2Fimage.png?alt=media&#x26;token=eabb5876-6fca-4d78-a7ee-cdb71d385d35" alt=""><figcaption></figcaption></figure>

Энэ бол Google Chrome-н History бүтэн зам юм.

<figure><img src="https://3374622158-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FE6qr56iNnQWIFa0iLTZX%2Fuploads%2F7qtvM6hOuisaDHbh84Lo%2Fimage.png?alt=media&#x26;token=a7c1d992-087e-4b8c-a654-f0faa19c50da" alt=""><figcaption></figcaption></figure>

offset-н ашиглаад файлаа dump хийж болно.

**`python2 vol.py -f heavyone --profile=Win7SP1x64 dumpfiles -Q 0x000000003e676ae0 -D files`**

<figure><img src="https://3374622158-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FE6qr56iNnQWIFa0iLTZX%2Fuploads%2FtTFz7HrkIv75vQN3L9se%2Fimage.png?alt=media&#x26;token=08370b4c-8ac3-4116-bbac-56219423a3b1" alt=""><figcaption></figcaption></figure>

dump хийгээд хартал 2 файл үүссэн байх бөгөөд мэдээж .dat файл нилээн сэжигтэй байсан.

<figure><img src="https://3374622158-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FE6qr56iNnQWIFa0iLTZX%2Fuploads%2FQzVPL1cuVLUHb3j96T9D%2Fimage.png?alt=media&#x26;token=ed6f2498-2097-4f24-bc28-7863406a2385" alt=""><figcaption></figcaption></figure>

Файлыг нээгээд үзвэл дотор нь өгөгдлийн сантай холбоотой мэдээллүүд мөн, keepass-н мэдээллүүд байсан. Яг Харуул Занги тэмцээний финал дээр бол би харж байгаад pastebin URL-г олсон.

<figure><img src="https://3374622158-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FE6qr56iNnQWIFa0iLTZX%2Fuploads%2FyOztcYGgYO8bm134IfaL%2Fimage.png?alt=media&#x26;token=c7239f95-18d5-4c55-9323-9aef8efdc7a3" alt=""><figcaption></figcaption></figure>

Нэг иймэрхүү pastebin URL байсан боловч цоожтой байсан.

<figure><img src="https://3374622158-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FE6qr56iNnQWIFa0iLTZX%2Fuploads%2FqTRu1BNRsbgUFegGkrfr%2Fimage.png?alt=media&#x26;token=a756f2c1-bfa6-4085-b999-8a2b51b1383e" alt=""><figcaption></figcaption></figure>

<figure><img src="https://3374622158-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FE6qr56iNnQWIFa0iLTZX%2Fuploads%2FoiGWW08xSVYm0V9F7wrh%2Fimage.png?alt=media&#x26;token=a655e76a-5d37-49cb-bf47-d88be4e3bbe3" alt=""><figcaption></figcaption></figure>

clipboard-уудыг шүүж үзвэл нэг сэжигтэй нууц үг шиг Data олдсон бөгөөд энэхүү мэдээлэл нь pastebin-г онгойлгох нууц үг байжээ. Ийнхүү энэ бодлого дээр манай баг **`first blood`** авсан юм даа xd

**`python2 vol.py -f heavyone --profile=Win7SP1x64 clipboard`**

<figure><img src="https://3374622158-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FE6qr56iNnQWIFa0iLTZX%2Fuploads%2FpQTRE4z9goZ0Y8Oso2va%2Fimage.png?alt=media&#x26;token=fa93effb-4baf-44f0-bd7f-8d1752f859b6" alt=""><figcaption></figcaption></figure>

password is: **`9d20KrHGS9`**

<figure><img src="https://3374622158-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FE6qr56iNnQWIFa0iLTZX%2Fuploads%2FLiJREY9AyReJgXGpa6Bj%2Fimage.png?alt=media&#x26;token=66e63547-8ccf-4968-97ab-099861b9565a" alt=""><figcaption></figcaption></figure>

**`HZ2024{heavy_is_the_crown}`**
