取证练习-26desctf取证张三的秘密复盘

题目描述：

打开附件后里面是E01证据文件，本次测试个人开发小工具尝试做题，使用工具挂载E01证据文件

首先我们先检查常规文件路径，首先检查桌面，题目提到用户应该是张三，那对应查看张三下面的桌面路径User/张三/Desktop

可以看到有一个文件夹最高机密以及一些工作文档和一张图片，这里我选择导出桌面文件夹的所有文件在本地查看

可见饭卡是一个二维码图，扫描得到一串字符串，应该就是需要的东西，先记录

继续检查可能存在的东西，接下来检查最近打开文件，路径在User/张三/AppData/Roaming/Microsoft/Windows/Recent，我们能发现访问到可疑的文件有个hint.dll，以及访问了好几次壁纸和批注.png，都是我们要查看的对象，分别查看快捷方式指向的路径去查看这些可疑的文件。

首先查看这个hint.dll，路径在C:\Program Files（x86)\Common Files\System\hint.dll

在hex窗口查看，明显不是dll，导出后改为txt打开查看，发现是题目要求，要找五条字符串，已经给出一个了，但是存在一个空缺，暂时先放一下，但现在可以确定之前饭卡的扫码结果也是要找的目标。

继续查看壁纸的路径，但在这里已经找不到了，使用恢复后的文件筛选器搜索壁纸，可以找到所在的路径

在预览中可以看到有个假的flag，其他没有别的特别的了，查看hex窗口，发现存在一条目标字符串在尾部。

继续查看可疑的记录是批注，查看快捷方式里记录的路径

发现是一个截图，里面还记录了一条除刚才hint.dll里给出的残缺记录以外一个新的记录，同时补全了刚才残缺的字符串（这里是导出来查看的，工具有点小bug没直接渲染）

剩余一条确实没有思路，使用爆搜shamir找到最后一条记录

接着就shamir解密就行

from itertools import permutations

P = 0x666c61677b3431e120579912cdf6831aed2476b0f3fab7c37b86a5c7b847e226a97f72f45783  
SHARES = [0x4e769b2cb222e299d33ea4b89e2831e12399a6b0117336e981a567371726b3368c73f3488e18,  
          0x47bb1ac5f6a422e8b4d483334b5d7fe2f8bae6ae665322ff30b2cade7f03e434a2e849d08599,  
          0x3f961ff18045be09c0ef92b6a5813cdfe8dc365f613b130ed430095e657c8391a1c03ac5ace5,  
          0xf0fe0b8be939ecd598f774ca043352f43dfb9fa3b74678aa9f9c9f68ab385f071d84376e64e,  
          0x4a37c5fad9d060d12f2cf65650fdd718d18d7e0a777276e85e1dd70a4a3c5b842d1feb896c42]

for xs in permutations(range(1, 10), 5):  
    s, n = 0, P  
    for i, xi in enumerate(xs):  
        num = den = 1  
        for j, xj in enumerate(xs):  
            if i != j: num, den = num * (-xj) % n, den * (xi - xj) % n  
        s = (s + SHARES[i] * num * pow(den, -1, n)) % n  
    b = s.to_bytes((s.bit_length() + 7) // 8, 'big')  
    if b.startswith(b'flag{') and b.endswith(b'}'):  
        print(b.decode()); break

得到flag：flag{37af8b400737929ad29ad6876d283e92}