通关只需 3 步
-
启动练习环境
-
调查目标
-
提交找到的 Flag
关联 `process_list.txt` 与 `image_regions.txt`,检测进程镂空。目标进程在 image base 有 PRIVATE、RWX 区域,且磁盘与驻留哈希不匹配。
从 `process_list.txt` 确定进程和 image base。
在 `image_regions.txt` 查找 PRIVATE + RWX 区域。
验证 on-disk 与 resident hash 是否不一致。