文档文件夹下存在恢复密钥文件
BitLocker 恢复密钥 0969E619-9A5B-4026-BCA0-02E3D3DFFB08.TXT
对比D盘BitLocker加密盘符
manage-bde -protectors -get D:BitLocker 驱动器加密: 配置工具版本 10.0.19041版权所有 (C) 2013 Microsoft Corporation。保留所有权利。卷 D: [标签未知]所有密钥保护器密码:ID: {7C60A75C-50AB-4B6A-862C-500CE042F708}数字密码:ID: {0969E619-9A5B-4026-BCA0-02E3D3DFFB08}
D盘对应,但是将恢复密钥输入时,报错数字组5包含错误,问ai为:
BitLocker 的每个 6 位数字组并不是随机数字。
每组都满足:
数字 % 11 == 0这种报错说明每组六个数字不满足此条件,而不代表组1-4是正确的恢复密钥。
所以无法通过此恢复密钥恢复
7860火眼跑出Administrator账密123456,直接仿真查看
C:\Users\Administrator\Documents\facefusion-3.6.0为换脸程序
read.txt中记录启动方法,启动
C:\Users\Administrator\Documents\facefusion-3.6.0>python facefusion.py run* Running on local URL: http://127.0.0.1:7860* To create a public link, set `share=True` in `launch()`.
3.6文件夹名为 facefusion-3.6.0
web访问也可得到 FaceFusion 3.6.0
13web网页中 FACE SWAPPER MODEL 有13个
facefusion-3.6.0\.assets\models 文件夹下也有13个.onnx模型文件
C:\Users\Administrator\Documentsweb网页中 OUTPUT PATH
C:\Users\Administrator\Documents
facefusion-3.6.0\.jobs\completed文件夹下日志也验证了
"output_path": "C:\Users\Administrator\Documents\e78bc90a.mp4",
c6f02d62.mp4日志文件:facefusion-3.6.0\.jobs\completed\ui-2026-04-30-13-14-48.json
"output_path": "C:\Users\Administrator\Documents\c6f02d62.mp4",
8080README_CN.md:
ChatTTS是专门为对话场景设计的文本转语音模型
确定为此工具
README.md:
start webui.py
python webui.py
C:\Users\Administrator\Documents\ChatTTS-webui-main>python webui.pyloading ChatTTS model...INFO:ChatTTS.core:Load from cache: C:\Users\Administrator/.cache/huggingface\hub/models--2Noise--ChatTTS/snapshots\1a3c04a8b0651689bd9242fbb55b1f4b5a9aef84WARNING:ChatTTS.utils.gpu_utils:No GPU found, use CPU insteadINFO:ChatTTS.core:use cpuINFO:ChatTTS.core:vocos loaded.INFO:ChatTTS.core:dvae loaded.INFO:ChatTTS.core:gpt loaded.INFO:ChatTTS.core:decoder loaded.INFO:ChatTTS.core:tokenizer loaded.INFO:ChatTTS.core:All initialized.* Running on local URL: http://0.0.0.0:8080
42webui.py中:
audio_seed_input = gr.Number(value=2, label="Audio Seed")
text_seed_input = gr.Number(value=42, label="Text Seed")
填的2错了,那应该是42
audiowebui.py中 generate_audio 函数并没有指定文件名
Gradio 的 Audio 输出组件默认生成的临时文件名通常为 audio 或基于 label 的简化名称。
于是在web网页中生成一段对话并下载,获取默认文件名
下载链接:
http://localhost:8080/gradio_api/file=C:/Users/Administrator/AppData/Local/Temp/gradio/e87b5b09f15992c6163fb2035e84f6e06b2b18a6d6533cd2e34962cf580221c1/audio.wav
桌面上没看到文件,猜测是卷影复制,查看后发现没有
又猜测是交替数据流,也没有
6.0.9.5 ?右键文件存在 使用火绒安全粉碎文件 选项,根据桌面工具
猜测为 CCleaner 或 火绒 的文件粉碎工具,查看 CCleaner 并未发现文件粉碎选项
查看火绒文件粉碎程序,文件历史中存在记录,那应该就是此程序的版本号
文件属性详情信息中,文件版本为6.0.0.0,但是答案错误,那应该就是火绒主程序的版本号
128直播软件应该指的是OBS,文件-设置-输出中标注音频码率
PC中两个分区均被 bitlocker 加密,给了个内存镜像,所以是从内存中提取BitLocker解密文件
这里提一下efdd、passware kit等软件恢复BitLocker恢复密钥原理:
使用内存镜像解密原始磁盘,然后再恢复出BitLocker恢复密钥,所以只通过内存无法得到BitLocker恢复密钥
lovelymem一把梭,没米买Luxe版,凑合用((
看到了两个fvek全卷加密密钥文件,即两个加密分区的BitLocker恢复密钥应该都能提取
使用efdd获取恢复密钥
Decrypt or mount disk->lmage file of disk\partition->选择需要解密的分区->选中内存文件
恢复出BitLocker恢复密钥
由于这个解密磁盘速度太慢了,获取恢复密钥后直接仿真解密即可
不过efdd似乎提取不出分区3的BitLocker恢复密钥,只能提取出分区5的:
717585-277112-173844-316503-216392-200508-705166-080894
换工具passware kit
磁盘解密->Bitlocker->有内存镜像->指定分区2,解密即可
不用跑完,在解密磁盘阶段取消,就可以获得恢复密钥
067474-555071-622369-111650-651354-121858-406439-542289
至此获取BitLocker密钥:
717585-277112-173844-316503-216392-200508-705166-080894
067474-555071-622369-111650-651354-121858-406439-542289
开始正式解题
536,870,912xwf一把梭
2025-08-08-12:20:35火眼分析系统信息直接看:2025-08-08 12:20:35 +0800 CST
做题时 CST+8 就等同于 UTC+8,注意格式((
B5C5H5火眼分析USB设备信息:设备序列号: 00000000NAB5C5H5
1723696192@qq.com火眼分析浏览器表单记录
147.0.3912.72火眼分析默认浏览器:msedge.exe
仿真查看
deepseek-v3.1AI编程软件一般都会在用户目录下创建文件夹,存放软件配置信息等
如.codex、.hermes、.claude
查看用户目录找到.claude文件夹
C:\Users\韦明辉\.claude\settings.json
{"env": {"ANTHROPIC_BASE_URL": "https://agentrouter.org/","ANTHROPIC_AUTH_TOKEN": "[REDACTED_API_KEY]","API_TIMEOUT_MS": "3000000","CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC": "1","ANTHROPIC_MODEL": "deepseek-v3.1",},"language": "Chinese/zh-CN","skipDangerousModePermissionPrompt": true,"model": "opus[1m]"}
sk-wddK6jkRKXgImXJ4UleePKKUi06whsVDStxdABBvz4Rvc2CG同上
2026-04-21-17:46:37history文件夹下存放了历史记录:
C:\Users\韦明辉\.claude\history.json
{"display": "请从互联网上帮我找几套视频直播网站源码","pastedContents": {},"timestamp": 1776764797886,"project": "D:\\web","sessionId": "47cabd25-8386-4d3c-8bbd-df20e894b058"}
时间戳 Dcode 转一下即可,注意格式((
longtengsihai.yamlClash Verge为fq软件,查看配置文件即可
78900808948091火眼分析中,chrome浏览器历史记录中:http://vip.sshc.com:8091/system-notice系统公告
已保存的密码中也有相关记录,所以8091端口为后台
shhc123!@#通过内存中得到的开机密码重新分析一下计算机
火眼分析中,chrome浏览器保存到密码中可以得到密码
LongTeng@2026D:\Notes 下存在笔记软件,给了一个密码本和exe文件,DIE看一下发现是Packer: PyInstaller打包文件,解包看看
https://github.com/pyinstxtractor/pyinstxtractor-ng
pyinstxtractor-ng.exe LongTeng_Notes.exe
发现 secure_notes.pyc 为主要逻辑,pycdc反编译一下
https://github.com/zrax/pycdc (需要cmake编译一下,交给codex
pycdc.exe secure_notes.pyc
稍微有点报错,但逻辑基本复原,主要看登录逻辑
# 登录成功逻辑password_hash = None.hash_password(password)if password_hash == config['password_hash']:# 密码hash算法def hash_password(self, password):'''使用SHA256哈希密码'''return hashlib.sha256((password + 'JinQin_Secret').encode()).hexdigest()# 配置文件读取def load_config(self):'''加载配置文件'''try:with open(self.config_file, 'r') as f:encoded = f.read()None(None, None, None)with None:if not None:passdecoded = base64.b64decode(encoded).decode()# 初始化def __init__(self):self.config_file = 'config.dat'self.notes_file = 'notes.dat'self.salt = b'JinQin_Salt_2024'
总体来讲就是 base64 解密 config.dat ,获取 password_hash 字段,校验密码,有密码本直接爆破,先解密配置文件
{"password_hash": "7e8b770712a078b4d540282c1a8a4852ee51c5abb3977f86d0cf9ee3fe5d618c","created_time": "2026-04-21 20:21:21","last_login": "2026-04-21 23:03:46","login_attempts": 0}
构造 hashcat 格式hash:
hashcat -m 1410 -a 0 7e8b770712a078b4d540282c1a8a4852ee51c5abb3977f86d0cf9ee3fe5d618c:JinQin_Secret E:\ExportFile\2026pangushixianxia\longteng -O -w 3 -d 1 --show7e8b770712a078b4d540282c1a8a4852ee51c5abb3977f86d0cf9ee3fe5d618c:JinQin_Secret:LongTeng@2026
得到密码,打开应用即可
我使用本机打开,输入密码无论正误都不会进入下一步逻辑,不知道为啥,就直接在仿真机里操作了
SHA256严格来讲应该是:sha256($pass.$salt)
JinQin_Secret同上
JinQin@Server2024!笔记中
ea87ee记事本文档记录中(交替数据流),仿真或者火眼可以查看到
C:\Users\韦明辉\Pictures\log.png:mm.txt
"vc容器密钥文件:C:\Users\韦明辉\Pictures\荷官.png,PIM:4位生日" 计算荷官.png的md5即可
NOTD:\logo\quick_obfuscate.py
def not_transform_file(input_file, output_file, chunk_size=100*1024*1024):"""NOT变换 - 分块处理"""print(f"[*] 输入文件: {input_file}")
e70af9写出quick_obfuscate.py的解密脚本
#!/usr/bin/env python3# -*- coding: utf-8 -*-"""快速解密工具 - 分块处理大文件 (NOT变换逆操作)注意:NOT变换是自身的逆运算,即 NOT(NOT(x)) = x"""import sysdef decrypt_file(input_file, output_file, chunk_size=100*1024*1024):"""NOT变换解密 - 分块处理"""print(f"[*] 输入文件 (混淆后): {input_file}")print(f"[*] 输出文件 (解密后): {output_file}")print(f"[*] 分块大小: {chunk_size // (1024*1024)} MB")print()total_size = 0chunk_num = 0with open(input_file, 'rb') as fin, open(output_file, 'wb') as fout:while True:chunk = fin.read(chunk_size)if not chunk:break# NOT变换解密 (再次进行NOT变换即可还原)decrypted=bytes([~b&0xFFforbin chunk])fout.write(decrypted)chunk_num += 1total_size += len(chunk)print(f"[+] 处理块 {chunk_num}: {len(chunk) // (1024*1024)} MB (总计: {total_size // (1024*1024)} MB)")print()print(f"[+] 解密完成!")print(f"[+] 总大小: {total_size} bytes ({total_size // (1024*1024)} MB)")print()if __name__ == "__main__":if len(sys.argv) < 3:print("用法: python quick_decrypt.py <input> <output>")sys.exit(1)input_file = sys.argv[1]output_file = sys.argv[2]decrypt_file(input_file, output_file)
计算MD5即可
18086579322这道题在VC里面,但是根据提示只能找到密钥文件,爆破PIM的操作passware不支持
那么就要用到 hashcat 了,先提取hash
# windows# ========== 只改这两个文件名 ==========$inFile = "system_cache" # VC容器$outFile = "vc.hash" # 容器hash# ===================================$path = Join-Path $PWD $inFile$outPath = Join-Path $PWD $outFile$fs = [System.IO.File]::OpenRead($path)try {$buf = New-Object byte[] 512$n = $fs.Read($buf, 0, 512)[Array]::Resize([ref]$buf, $n)[System.IO.File]::WriteAllBytes($outPath, $buf)"OK: $outFile ($n bytes)"} finally {$fs.Dispose()}
vc默认加密的hashcat格式:13721
VeraCrypt PBKDF2-HMAC-SHA512 + AES (legacy)
开始 hashcat 爆破,指定PIM范围为0至9999,指定空密码
hashcat -m 13721 -a 0 --veracrypt-pim-start=0 --veracrypt-pim-stop=9999 E:\ExportFile\2026pangushixianxia\vc\vc.hash E:\ExportFile\2026pangushixianxia\vc\your_password.txt --veracrypt-keyfiles=E:\ExportFile\2026pangushixianxia\vc\荷官.png -O -w 3 -d 1E:\ExportFile\2026pangushixianxia\vc\vc.hash: (PIM=303)
这里也可以偷鸡做法,笔记软件中有提示:“开机密码:名字拼音首字母小写@6位生日”
先把开机密码搞出来,然后得到生日为0303,也可以解密出vc容器
VC容器中文件:会员信息.xlsx
4174.82VC容器中文件:提现明细.xlsx
2026-04-22-22:56:27lovelymem中:Current Time: 2026-04-22 14:56:27 UTC
需要转化成注意格式((
vol2 验证下,win11好像不能用 vol2 跑了,不过这里就看一个内存镜像,能用就行
volatility.exe -f E:\ExportFile\2026pangushixianxia\mem.dmpVolatility Foundation Volatility Framework 2.6INFO : volatility.debug : Determining profile based on KDBG search...Suggested Profile(s):Win8SP0x64,Win81U1x64,Win10x64_14393,Win2012R2x64_18340,Win10x64,Win2016x64_14393,Win2012R2x64,Win2012x64,Win8SP1x64_18340,Win10x64_10586,Win8SP1x64(Instantiatedwith Win8SP1x64)ASLayer1:WindowsAMD64PagedMemory(Kernel AS)ASLayer2:WindowsCrashDumpSpace64(Unnamed AS)ASLayer3:FileAddressSpace(E:\ExportFile\2026pangushixianxia\mem.dmp)PAEtype:No PAEDTB:0x1ae000LKUSER_SHARED_DATA : 0xfffff78000000000LImagedateandtime:2026-04-2214:56:27UTC+0000Image local date and time : 2026-04-22 22:56:27 +0800
验证没问题
0x1031e1400 ?lovelymem中所有文件得到的是0xffffa88924efbee0,这个指的是 OBJECT 内核对象地址
物理地址应该在 NTFS文件时间线中获取,为:0x1031e1400
wmh@950303开机密码:名字拼音首字母小写@6位生日
hashcat一把梭
hashcat -m 1000 -a 3 4a883b492b526e3cc38cfce73a327d66 wmh@?d?d?d?d?d?d -O -w 3 -d 14a883b492b526e3cc38cfce73a327d66:wmh@950303