メモリダンプがおかれており、 volatility というツールがヒントに書かれている。偽の svchost がアクセスしているウェブサイトを調べてほしい、そのサイトに行けばフラグが手に入る、というもの。また、ヒントには「hosts」とも書いてあった。volatility の使い方を軽く確認したあと、ウェブサイトを見ていると書いてあるのでまずは通信内容を確認した。    $ volatility_2.5_linux_x86 -f ./forensic_100.dat --profile=WinXPSP2x86 connectionsVolatility Foundation Volatility Framework 2.5Offset(V)  Local Address             Remote Address            Pid---------- ------------------------- ------------------------- ---0x8213bbe8 192.168.88.131:1034       153.127.200.178:80        1080IP アドレスはわかったが、繋ぎに行っても nginx の初期インストール画面のようなものが表示されたので、「hosts」というヒントを元に C:\Windows\System32\drivers\etc\hosts を探すことに。filescan や dumpfiles を試みたがなかなか手に入らないので、最終的にはstrings して「153.127.200.178」で grep した。    $ strings forensic_100.dat | grep 153.127.200.178153.127.200.178    crattack.tistory.com attack.tistory.com 153.127.200.178    crattack.tistory.com 153.127.200.178:80ホスト名は候補が二つに絞られたが、 /etc/hosts を手元に書いてこのホスト名・IPアドレスの組み合わせにつないでもまだフラグはない。いろいろ見ているうちに、 HTTP をしゃべっている内容のようなものが見えていたので、このやり取りもまだメモリに残っているのでは、ということで “GET /” を探した。    $ strings forensic_100.dat | grep 'GET /' GET /image/237C0C3E576BA0AD06F720 HTTP/1.1GET /entry/Data-Science-import-pandas-as-pd HTTP/1.1GET /entry/Data-Science-import-pandas-as-pd HTTP/1.1GET /entry/Data-Science-import-pandas-as-pd HTTP/1.1GET /entry/Data-Science-import-pandas-as-pd HTTP/1.1ようやく URL がわかったので、 アクセスするとフラグ。    $ curl http://attack.tistory.com/entry/Data-Science-import-pandas-as-pdSECCON{_h3110_w3_h4ve_fun_w4rg4m3_}