TryHackMe Writeup：Disk Analysis & Autopsy


# 最初に

フォレンジックの統合ツールであるAutopsyを使ってみるＲｏｏｍに挑戦します！
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/6918abc4-1fea-5667-18cf-c4923a357faa.png)


初めて使うツールなので、Writeup見つつ頑張ろ、、、

補足：Autopsyがうまく動作しないところもあります。もしこうすればいいよ、などのご指摘があればお願いします。。。

# Task1

起動して、Open Caseを選択
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/b3db5321-5231-3c58-baa9-fa2fcdb364e5.png)

適当なCaseをつくった後もできます
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/0d7c86aa-e754-5cc1-2d7f-dd3bf1bcc510.png)

Tryhackme.autを選択します！
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/ece5ece5-83df-1c67-6f00-feb7fa32895b.png)


## What is the MD5 hash of the E01 image?

読み込ませたHASAN2.E01の、Summary>Container に記載があります
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/d6bdd1e6-ce5d-c0da-5f6a-a675d6405493.png)


## What is the computer account name?


Computer Account Nameが該当するかどうかは微妙ですが、Hostnameは下図から確認できます！
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/7703b8dd-1839-4930-89a7-c57a90922ada.png)





## List all the user accounts. (alphabetical order)

ユーザーアカウントも下図で確認できます！
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/af01c5ee-6fa1-f478-6fc3-253a32c77f2b.png)


## What was the IP address of the computer?


まず割り当てられているドライブをよく見てみると２，３，６の３つでそれぞれを見てみると、３がWindowsでした

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/150d1520-79dc-c34e-8f50-3cf58dce6c7a.png)

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/85de15bf-fd7d-2eb8-d594-61baa3b4080e.png)




Look@LANというネットワーク監視ツールをインストールしています。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/e6ffaa83-166c-3d43-3a61-38f4ed8e2daa.png)

このツールの初期化ファイルにIPアドレスが指定されいました
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/a6affaee-65e8-57a4-cd65-1674614e88e4.png)



## What was the MAC address of the computer? (XX-XX-XX-XX-XX-XX)

IPアドレスの下にNICの情報が`-`なしで記載されています
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/6d96de64-d379-97a6-63c6-6661b03e7640.png)








## What is the name of the network card on this computer?

Autopsyの使い方がよくないのか、Writeupを参考にしてもレジストリ値が見れない、、、
`Software`を選択しても、`Application`タブが押せない。。。。

これはあきらめました、、、





## What is the name of the network monitoring tool?


これは少し前に扱ったLook@LANですね

## A user bookmarked a Google Maps location. What are the coordinates of the location?

Web Bookmarkの中を探していたら見つかりました！
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/49e1f586-d579-6d3b-92d3-98b67470ed21.png)






## A user has his full name printed on his desktop wallpaper. What is the user's full name?

`Images/Videos`から画像が見れず。。。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/4b44dde1-cf6b-c7e9-e1f1-fc351a0a4858.png)


断念、、、





## A user had a file on her desktop. It had a flag but she changed the flag using PowerShell. What was the first flag?

shreyaのアカウントのDesktopにパワーシェルファイルがあることは確認できたのですが、このユーザー自身のフラグを変更する内容ではない。。。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/2b9225ec-d42c-85d2-eeee-817ac2454b18.png)

Writeupを見てみると、Powershellファイルの実行履歴（？）が見れるファイルがあるとのことで、そこを確認したら、記載がありました！
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/f7ed6970-ea1b-a1cd-9055-d51acef8edd4.png)



## The same user found an exploit to escalate privileges on the computer. What was the message to the device owner?


これは先ほどのshreyaのDesktopにあったパワーシュルファイルの中に記載があります
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/bf21007d-765f-f605-64af-d138c69fa6ee.png)






## 2 hack tools focused on passwords were found in the system. What are the names of these tools? (alphabetical order)

これは正直、このツールを知らなかったです。。。
勉強不足・・・・




## There is a YARA file on the computer. Inspect the file. What is the name of the author?


全体から.yarを含むファイルを検索しました。
そうすると、H454NのDesktopにYARAファイルがあると記載があります
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/cb73acdf-20e4-6021-adac-2929d3bdc008.png)

実際のところ、Desktopにはなく、Downloadにあったのですが、ファイルの中身を確認したら、Authorの情報がありました！
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/cf0871ba-b391-f688-bb00-ad60093ca9af.png)

## One of the users wanted to exploit a domain controller with an MS-NRPC based exploit. What is the filename of the archive that you found? (include the spaces in your answer) 

`MS-NRPC based exploit ツール`でGoogleで調べてみたところ、ZerologonなるMS-NRPCの脆弱性を悪用するツールがあるみたい
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/5b105003-1312-8e10-1563-7efd35d13c79.png)

`Zerologon`で検索をかけたところ、sandhyaがダウンロードしていた形跡が見つかりました！
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2152468/80275b92-c840-5ca1-c3ab-7dbc42d43e52.png)



# 最後に

今回学んだことは以下２点です
- Autopsyを使いこなすことより、Windowsのフォレンジックの知識が重要
- ログに記載されているフォルダを信用しすぎない