[Defcon DFIR CTF 2019] Memory 04

4. wscript can haz children

wscript.exe의 자식 프로세스 이름은 무엇인지 물어보는 문제입니다. 

문제 3에서 사용했던 pstree를 사용하면 됩니다.

 

pstree: 실행 중인 프로세스 간의 연결 구조를 트리형식으로 출력

명령어는 vol.exe -f 파일이름 --profile=프로파일이름 pstree 형식이나

vol.exe -f 파일이름 pstree  --profile=프로파일이름 형식으로 쓰면 됩니다.

 

vol.exe -f defcon.mem pstree --profile=Win7SP1x64

1) cmd 열기

2) pstree 이용.

정답: UWkpjFjDzM.exe