本文详述了计算机内存的分析方法，包括如何生成内存dump文件，使用第三方工具如FTK Imager抓取内存，以及在动态内存中提取加密密钥以解锁全盘加密。此外，还探讨了在面对锁屏、管理员权限等问题时如何固定和分析内存，以及TrueCrypt和VeraCrypt的加密盘取证策略。
本文参考各位前辈的优秀原创，仅为整理学习使用。
一般针对物证的提取可以分为两种：现场固定提取、封装打包后带回鉴定处固定提取。
易失性的证据，自然属于必须在现场立刻固定提取的一类，毕竟是”易失性“的，一断电或者重启数据就丢失了，或者被覆盖也没了。
内存
动态内存不仅指电脑RAM内存，也可以指代许多其他存有动态性易失数据的设备内存，如联网的路由器等。
随机存储器（Random Access Memory）可读可写，断电易失。
通常情况下，存储在内存中的证据不会写入硬盘驱动器，并且可以在pagefile.sys或hiberfil.sys中找到。
在内存中包含但不限于以下内容：
-
进程列表
-
已经执行的命令行
-
剪切板记录
-
网络连接
-
BitLocker/SafeBoot/PGP/TrueCrypt/ VeraCrypt等全盘加密或加密容器的恢复密钥
-
网络账户密码（如邮件、社交媒体、云存储等）
-
漏洞利用相关信息
-
$MFT记录（主文件表Master File Table）
-
部分注册表记录&#
最低0.47元/天 解锁文章
4850
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
