ctf-d GrrCon 2015 #5

 

레지스트리 key 중에서 자동 실행 프로그램을 모아둔 경로 : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

volatility 플러그인 중 printkey는 특정 레지스트리 key의 subkeys, values, data, data type을 보여주는 명령어이다.

-k 옵션 : 해당 레지스트리에 대한 정보만 가져올 수 있다.
-o 옵션 : 가상 주소를 입력하면 특정 하이브에 대해서만 탐색

https://schmidtiana95.tistory.com/entry/Volatility

https://lastcard.tistory.com/150

https://rninche01.tistory.com/entry/42-Volatility