[译]使用Volatility从memory dump获得密码

原文地址：[url]https://cyberarms.wordpress.com/2011/11/04/memory-forensics-how-to-pull-passwords-from-a-memory-dump/[/url]

[b]1. 从memory dump 获得一些信息[/b]

volatility imageinfo -f memorydumpfilename.raw

[img]http://dl2.iteye.com/upload/attachment/0104/7662/e88b3549-f9b4-347b-a2e3-116be144dcec.png[/img]
现在我们知道该memory dump的profile类型是Win7SP1x86
[b]2. 接下来我们获得注册表的位置[/b]
volatility hivelist -f memdumpfilename.raw –profile=Win7SP1x86(使用两个-，因为由于某些原因，他们显示为一个-)
[img]http://dl2.iteye.com/upload/attachment/0104/7664/51bfd3f0-e8e2-308a-9f43-612799122552.png[/img]
[b]3. 从内存中获得密码hash[/b]
我们需要知道system和sam key的起始位置，查找上图，copy SYSTEM和SAM位置的第一列，把输出保存到hashs.txt文件中

volatility hashdump -f memdumpfilename.raw –profile=Win7SP1x86 -y 0x87c1a248 -s 0x8bfaa008 > hashs.txt  (double dashes in front of profile)

[img]http://dl2.iteye.com/upload/attachment/0104/7668/cf64998c-b239-36d0-8ae7-9ea61fa25fad.png[/img]
得到结果：
[img]http://dl2.iteye.com/upload/attachment/0104/7670/651c5c35-83ac-39bb-a5ea-e1e8af535ab1.png[/img]