内存取证 Volatility笔记

君叹   ·   发表于 2021-10-15 21:21:09   ·   安全工具

volatility常用命令

查看volatility已安装的profile和插件

volatility --info
当我们拿到一个内存文件镜像的时候

一般来说我们应该先用 imageinfo
查看镜像的信息

-f 指定一个镜像文件

imageinfo 查看系统摘要信息

volatility -f imageinfo


hashdump 查看用户名和密码

volatility -f --profile= hashdump
需要提前指定系统
就是从 Suggested Profile(s)中得到的几个系统版本(可能吧?)中选取一个
有的选了没用,就换下一个(也不知道原因,有知道的师傅可以评论里指导一下)
例如

然后我们换一个
就可以看到md5的密码
随后用暴力破解就可以了


pslist 直接列出运行的进程

volatility -f --profile= pslist


psxview 查看隐藏进程

volatility -f --profile= psxview


netscan 查看网络连接状态

volatility -f --profile= netscan
有的时候netscan用了没反应
但是能用connscan


connscan查看网络连接状态

volatility -f --profile= connscan


connections 检索已建立的网络连接状态

volatility -f --profile= connections


hivelist 列出注册表信息

volatility -f --profile= hivelist


cmdline/cmdscan 提取内存中保留的cmd命令使用情况

volatility -f --profile= cmdline


filescan 扫描内存中的文件

volatility -f --profile= filescan
但是这样扫描得到的东西太多太杂乱
我们可以使用 grep 来筛选
例如我们要找jpg图片
就在最后加一个 | grep “JPG”
volatility -f --profile= filescan | grep "JPG"


dumpfiles 将内存文件提取出来

dumpfiles:
-Q 指定文件的16进制地址
-D 要存储的位置
volatility -f --profile= dumpfile -Q -D ./
./就是存储到当前目录下
volatility -f win2008.vmem --profile=Win2003SP1x86 dumpfiles -Q 0x0000000004643848 -D ./

然后我们点开图片
发现确实是我们刚才画的图片


screenshot —dump-dir=./

查看桌面截图并存储到当前目录下
volatility -f win2008.vmem --profile=Win2003SP1x86 screenshot --dump-dir=./


printkey -K “ControlSet001\Control\ComputerName\ComputerName” 查看当前主机名

原理是从注册表的system往下找,找到主机名
volatility -f win2008.vmem --profile=Win2003SP1x86 printkey -K "ControlSet001\Control\ComputerName\ComputerName"


printkey -K “SAM\Domains\Account\Ueers\Names” 查看系统用户名

`volatility -f win2008.vmem —profile=Win2003SP1x86 printkey -K “SAM\Domains\Account\Ueers\Names”

printkey -K 指定的是注册表的路径,查看主机名那个是从HKEY_LOCAL_MACHINE\SYSTEM\下开始的
而用户名又是从HKEY_LOCAL_MACHINE\SAM\下开始的
这个地方属实是有点搞不懂是为什么
有知道的师傅可以在评论区解答下


memdump -p -D ./ 将进程程序提取出来

volatility -f win2008.vmem --profile=Win2003SP1x86 memdump -p 1152 -D ./


consoles 抓取控制台下执行的命令以及回显数据


mftparser 抓取删除的文件


点个赞吧师傅们!!!

用户名金币积分时间理由
奖励系统 100.00 0 2021-10-22 16:04:36 投稿满 10 赞奖励
Track-JARVIS 1.00 0 2021-10-22 15:03:21 一个受益终生的帖子~~
3208663490 1.00 0 2021-10-22 15:03:28 一个受益终生的帖子~~
叹城 1.00 0 2021-10-22 15:03:38 一个受益终生的帖子~~
Track-劲夫 50.00 0 2021-10-19 14:02:50 一个受益终生的帖子~~
奖励系统 50.00 0 2021-10-18 15:03:22 投稿满 5 赞奖励
1123295584 3.00 0 2021-10-18 15:03:16 一个受益终生的帖子~~

打赏我,让我更有动力~

1 Reply   |  Until 1个月前 | 217 View

Track-劲夫
发表于 1个月前

写的不错,如果可以对里面的一些功能补充一些适用场景的描述就更好了

评论列表

  • 加载数据中...

编写评论内容
LoginCan Publish Content
返回顶部 投诉反馈

© 2016 - 2021 掌控者 All Rights Reserved.