2021-07-10

从mstsc缓存中恢复图像获取密码

今天逛freebuf的时候看到了这篇文章，
红蓝对抗：曾经连过的RDP也能泄露信息？
感觉有点意思，于是跟着做了一遍，期间查阅了一些资料，这里记录一下这种思路
BMP(DIB)图片格式

我的bmc文件路径在这儿

通过010editer打开bcache22.bmc。

这20个字节是bmc文件的文件头，保存了位图文件的宽高，尺寸

可以看到宽高分别为64个像素，大小为8192字节，则图像的位深度计算出来就是16位。这儿的计算我说不清楚，但我掌握了这个计算的方法！！！！那么现在我们从bmc文件中从第21个字节开始复制8192个字节的数据

接下来那么我们开始构造bmp文件的文件头。

文件头的格式在上文的链接中！！！上面这张图里面有错误，建议阅读原文
小端字节序
42 4d 表示bmp文件
7A 这个我也不清楚，不过正常7A 20 00 00 表示文件的大小，但通过上面可知文件的大小为20，这里就很奇怪，不过这个7A和后面还有一个7A一样，表示头部到数据部分的偏移，即112+10，上图刚好122个字节。
00 00 保留字段，总为0
00 00 保留字段，总为0
7A 00 00 00 数据偏移
6C 00 00 00 结构体大小，咱也不知道啥是结构体。
40 00 00 00 宽
40 00 00 00 高
01 00 bi planes 总为1
10 00 位深度
00 00 00 00 表示未经过压缩
00 00 00 00 像素数据大小
00 00 00 00 实际水平分辨率
00 00 00 00 实际垂直分辨率
00 00 00 00 用到的颜色数
00 00 00 00 重要的颜色数
后面还有一串字数据不晓得啥意思，可阅读我的参考文章自行查询，大概就是颜色表这一类的。
然后将两部分数据拼在一起

保存修改后缀名为bmp之后就得到了这么个东东

可以看到基本上算是成功了，但颜色不太对，可能是因为颜色表，设置的问题…不过不影响我们从里面提取数据，如果里面有些关键数据就有趣了。

标签：10,00,字节,7A,文件,bmc,2021,数据,07
来源： https://blog.csdn.net/qq_32731075/article/details/118640822