keepass-exfil-forensics — Writeup di network forensics + tooling per una challenge DFIR di TryHackMe: inverte una catena di esfiltrazione hex→Base64→XOR dal traffico PCAP, poi recupera la password master di KeePass da un dump di memoria del processo tramite CVE-2023-32784. | Kitploit

Esfiltrazione della Memoria di KeePass — Indagine di Network Forensics

Recupera i dati esfiltrati dal traffico PCAP invertendo una catena di offuscamento hex → Base64 → XOR utilizzata in uno scenario DFIR CTF reale (TryHackMe), quindi sfrutta CVE-2023-32784 per recuperare la password principale di KeePass direttamente da un dump della memoria di un processo.

L'Attacco, in un Diagramma

Victim workstation                          Attacker C2 Server
-------------------                         -------------------
Malicious .ps1 downloaded over HTTP
        |
        v
Downloads ProcDump (legit Sysinternals tool)
        |
        v
Dumps KeePass process memory ---------------------->  port 1337
   (XOR 0x41 + Base64 encoded first)

Steals Database1337.kdbx -------------------------->  port 1338
   (XOR 0x42 + Base64 encoded first)

Cosa Contiene Questa Repo

# 1. Extract the raw exfil stream from a pcap with tshark
tshark -r capture.pcapng -T fields -e data \
  -Y "ip.dst == <C2_IP> and tcp.port == <PORT>" > payload.txt

# 2. Reverse the obfuscation
python3 decoder.py payload.txt recovered_file.bin --xor-key 0x41

`docs/writeup.md`	Writeup completo dell'indagine passo dopo passo
`decoder.py`	Strumento generalizzato per invertire la catena hex → Base64 → XOR
`evidence/xxxmmdcclxxxiv.ps1`	Lo script PowerShell malevolo recuperato

keepass-exfil-forensics

Più Popolari

Avvio Rapido

Tecniche Chiave Dimostrate

Crediti

Dichiarazione di non responsabilità