本文总结了CTF比赛中的内存取证和USB流量分析经验，涉及Volatility工具的使用，包括镜像信息提取、进程扫描、文件探测与提取等步骤。同时介绍了USB流量分析，通过Wireshark和tshark提取关键数据，并展示了如何解析USB数据以获取隐藏信息。内容还涵盖了网络安全与执法专业比赛中的希尔密码解密方法。
0x00 前言
本文对我曾接触到过的CTF中的内存取证类题目与USB流量分析类题目进行一个总结类梳理。其中kali里集成了取证神器volatility与流量分析神器tshark
0x01 Volatility
第一步提取内容镜像信息
常用命令volatility -f <xxx.vmem>(或xx.raw) imageinfo
使用imageinfo插件获取到基本信息，特别是内存数据是什么操作系统下生成的，这点尤为重要 （如图的WinXPSP2x86） 因为在接下来每一步都要命令“–profile”指定操作系统的属性。
第二步列取文件中曾使用的进程信息
常用命令： pslist/pstree/psscan
1）pslist无法显示隐藏/终止进程。
2）解决这个问题的插件是psscan，这个插件输出的内容会比pslist多得多。（所以全面信息获取用psscan）
3）pstree同样也是扫描进程的，但是是以进程树的形式出现的。
同时可以搭配grep命令进行对可疑进程(cmd.exe、notepad.exe等)的快速筛选
第三步根据进程中使用的工具对应查看
常用命令：cmdscan notepad
cmdscan 可以用来查看受害者系统上攻击者操作的最强大的命令之一，无论他们是否打开c
最低0.47元/天 解锁文章
扫一扫
5804
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
