https://tiphergane.github.io/categories/thm/ Recent content in THM on Les chatons ont la réponse - github.io Hugo fr Sun, 09 Aug 2026 20:52:07 +0200 https://tiphergane.github.io/writeups/thm-hh26_management_wants_a_word/ Sun, 09 Aug 2026 20:52:07 +0200 https://tiphergane.github.io/writeups/thm-hh26_management_wants_a_word/ <h1 id="management-wants-a-word--forensics-hacker-holidays-day-14"> Management Wants a Word — Forensics (Hacker Holidays, Day 14) <a class="heading-link" href="#management-wants-a-word--forensics-hacker-holidays-day-14"> <i class="fa-solid fa-link" aria-hidden="true" title="Link to heading"></i> <span class="sr-only">Link to heading</span> </a> </h1> <p><strong>Room:</strong> TryHackMe — Hacker Holidays <strong>Catégorie:</strong> Forensics / Windows Registry / DPAPI <strong>Tags:</strong> <code>KAPE</code> <code>NTUSER.DAT</code> <code>DPAPI</code> <code>impacket</code> <code>hashcat</code> <code>Chrome</code> <code>VeraCrypt</code> <code>steganography</code></p> <h2 id="tldr"> TL;DR <a class="heading-link" href="#tldr"> <i class="fa-solid fa-link" aria-hidden="true" title="Link to heading"></i> <span class="sr-only">Link to heading</span> </a> </h2> <p>Un dump KAPE fournit une arborescence Windows. L&rsquo;énoncé oriente vers le navigateur (&ldquo;un navigateur va se souvenir de choses pour toi&rdquo;). Les identifiants sauvegardés dans Chrome sont protégés par DPAPI ; pour les déchiffrer il faut casser le mot de passe Windows de l&rsquo;utilisatrice via son hash NTLM (SAM), puis remonter toute la chaîne DPAPI jusqu&rsquo;à la clé AES de Chrome. Les identifiants récupérés ne sont pas des creds web mais la passphrase d&rsquo;un volume <strong>VeraCrypt</strong> déguisé en fichier <code>backup</code>. Le flag est caché dans un PDF présent dans ce volume.</p>