附件下载时vmdk文件

首先尝试了vm虚拟机挂载,但是失败了,后面了解到winhex也可以挂载vmdk文件,这里我是使用DG进行磁盘分析

挂载后,根据这个路径\Documents and Settings\Administrator\桌面\10个t的学习资料查找,可以看到有五张图片

导出五张图片,binwalk看一下,在第五张图片中分离得到压缩包

打开这个flag.png

接着对这个flag.png进行binwalk分离的话还可以得到一个加密的压缩包

这里有个提示,戴围脖的软件,初步判断是qq,然后没找到qq,但是有个firefox文件夹

判断应该是要找有关qq的历史记录,记录存在于下面这sqlite文件

sqlite文件这里使用SQLiteStudio进行打开

找到了qq号,查看其qq空间

解密这段md5

即可得到压缩密码,打开压缩包,里面的png就是flag