下载附件后是一个流量包打开后先通过协议分级分析里面包含了哪些协议发现tcp中的http协议占多数过滤http协议搜索flag字符串发现这个流量中包含了一个flag.txt文件追踪流发现里面包含了admin的账号密码用foremost分离提取压缩包把发现的密码写上去发现行不通接着在uploads路径下观察攻击者的操作发现攻击者寻找了lsass.dmp文件并且返回成功LSASS 进程读取Windows 的本地安全授权子系统服务LSASS负责存储用户登录凭证如明文密码、NTLM 哈希等。利用wireshark的导出对象功能提取这个文件使用mimikatz获得该文件中administrator的密码mimikatz只能在wimdows下使用将lsass.dmp文件放到mimikatz.exe下目录privilege::debugsekurlsa::minidump lsass.dmpsekurlsa::logonpasswords full写入密码找到flagflag{3466b11de8894198af3636c5bd1efce2}参考BUUCTF [安洵杯 2019]Attack 1