本文介绍了如何在CTF比赛中通过内存取证来寻找关键信息。利用Kali Linux中的Volatility工具，以men.raw文件为例，展示了如何查看系统信息、运行程序列表、查找特定文件、提取文件、查看CMD执行的文件以及获取网络连接和账户密码等操作。在实践中，通过grep过滤找到txt文件，使用Volatility提取进程中的文件，并利用foremost进一步解析流量包以寻找flag。
内存取证
相当于给出镜像文件，一般为.raw文件，在这些文件中找出相应的文件
常用命令
在kali下用工具volatility，以湖湘杯的文件men.raw为例
-
查看系统信息
volatility -f mem.raw imageinfo
如下显示的系统都有可能，可以一个个的试试 -
查看运行程序列表
volatility -f mem.raw --profile=Win7SP1x64 pslist
-
查看文件
volatility -f mem.raw --profile=Win7SP1x64 filescan
一般文件会很多，不易查看，用grep命令过滤
volatility -f mem.raw --profile=Win7SP1x64 filescan |grep txt
最低0.47元/天 解锁文章
扫一扫
1926
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
