Volatility 内存数字取证方法

已于 2023-06-28 14:46:40 修改
阅读量5.1k 收藏 14
点赞数 3
分类专栏： 《Python 编程技术实践》 文章标签： python 信息安全 内存取证 黑客编程
于 2020-03-13 11:10:00 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/lyshark_csdn/article/details/124939244
版权

计算机数字取证分为内存取证和磁盘取证，活取证与死取证，不管是那种取证方式，都应尽量避免破环犯罪现场，例如通过内存转储工具对内存进行快照，通过磁盘克隆工具对磁盘进行克隆，方便后期的分析工作，这里将研究内存的取证技术中的活取证。

工具地址： GitHub - volatilityfoundation/volatility: An advanced memory forensics framework

查询镜像基本信息： volatility -f winxp.raw imageinfo

lyshark@Dell:/mnt/d$ volatility -f winxp.raw imageinfo
Volatility Foundation Volatility Framework 2.6
INFO    : volatility.debug    : Determining profile based on KDBG search...
          Suggested Profile(s) : WinXPSP2x86, WinXPSP3x86 (Instantiated with WinXPSP2x86)
                     AS Layer1 : IA32PagedMemoryPae (Kernel AS)
                     AS Layer2 : FileAddressSpace (/mnt/d/winxp.raw)
                      PAE type : PAE
                           DTB : 0xad6000L
                          KDBG : 0x80546ae0L
          Number of Processors : 1
     Image Type (Service Pack) : 3
                KPCR for CPU 0 : 0xffdff000L
             KUSER_SHARED_DATA : 0xffdf0000L
           Image date and time : 2020-03-13 02:08:21 UTC+0000
     Image local date and time : 2020-03-13 10:08:21 +0800

查正在运行的进程： volatility -f winxp.raw --profile=WinXPSP3x86 pslist

lyshark@Dell:/mnt/d$ volatility -f winxp.raw --profile=WinXPSP3x86 pslist
Volatility Foundation Volatility Framework 2.6
Offset(V)  Name                    PID   PPID   Thds     Hnds   Sess  Wow64 Start                          Exit         
---------- -------------------- ------ ------ ------ -------- ------ ------ ------------------------------ ------------------------------
0x821b9830 System                    4      0     56      522 ------      0                                             
0x8210bd38 smss.exe                488      4      3       19 ------      0 2020-01-19 01:52:22 UTC+0000                
0x8203e020 csrss.exe               600    488     11      360      0      0 2020-01-19 01:52:22 UTC+0000                
0x81bf61a8 winlogon.exe            624    488     17      435      0      0 2020-01-19 01:52:23 UTC+0000                
0x8207ea88 services.exe            668    624     16      260      0      0 2020-01-19 01:52:23 UTC+0000                
0x81f62238 lsass.exe               680    624     20      336      0      0 2020-01-19 01:52:23 UTC+0000     
0x81b34020 cmd.exe                1580   1468      1       32      0      0 2020-03-13 02:08:14 UTC+0000                
0x81bf4378 calc.exe               1512   1580      1       44      0      0 2020-03-13 02:08:16 UTC+0000                
0x81b50020 DumpIt.exe             1008   1468      1       25      0      0 2020-03-13 02:08:19 UTC+0000

查正在运行的进程的进程树： volatility -f winxp.raw --profile=WinXPSP3x86 pstree

lyshark@Dell:/mnt/d$ volatility -f winxp.raw --profile=WinXPSP3x86 pstree
Volatility Foundation Volatility Framework 2.6
Name                                                  Pid   PPid   Thds   Hnds Time
-------------------------------------------------- ------ ------ ------ ------ ----
 0x821b9830:System                                      4      0     56    522 1970-01-01 00:00:00 UTC+0000
. 0x8210bd38:smss.exe                                 488      4      3     19 2020-01-19 01:52:22 UTC+0000
.. 0x8203e020:csrss.exe                               600    488     11    360 2020-01-19 01:52:22 UTC+0000
.. 0x81bf61a8:winlogon.exe                            624    488     17    435 2020-01-19 01:52:23 UTC+0000
... 0x8207ea88:services.exe                           668    624     16    260 2020-01-19 01:52:23 UTC+0000
.... 0x81f684c0:svchost.exe                          1032    668     55   1194 2020-01-19 01:52:24 UTC+0000
..... 0x81e44da0:wscntfy.exe                          880   1032      1     39 2020-03-13 01:52:46 UTC+0000
.... 0x820408b8:vmtoolsd.exe                         1940    668      7    271 2020-01-19 01:52:37 UTC+0000
.... 0x81f71980:spoolsv.exe                          1560    668     10    118 2020-01-19 01:52:29 UTC+0000
.... 0x81f865d8:svchost.exe                          1192    668      8     92 2020-03-13 01:53:09 UTC+0000
.... 0x81cc6c30:svchost.exe                          1072    668      4     77 2020-01-19 01:52:24 UTC+0000
.... 0x81fcad78:vmacthlp.exe                          840    668      1     25 2020-01-19 01:52:24 UTC+0000
.... 0x81cc54e0:svchost.exe                           936    668     10    252 2020-01-19 01:52:24 UTC+0000
.... 0x820873c0:svchost.exe                           856    668     15    190 2020-01-19 01:52:24 UTC+0000
.... 0x82102020:svchost.exe                          1116    668     15    209 2020-01-19 01:52:27 UTC+0000
.... 0x8206dd80:alg.exe                              1252    668      6    106 2020-03-13 01:52:45 UTC+0000
.... 0x81c03020:imapi.exe                             508    668      4    114 2020-03-13 01:52:44 UTC+0000
... 0x81f62238:lsass.exe                              680    624     20    336 2020-01-19 01:52:23 UTC+0000
 0x82135da0:explorer.exe                             1468   1436      9    389 2020-01-19 01:52:28 UTC+0000
. 0x81ff7da0:ctfmon.exe                              1732   1468      1     71 2020-01-19 01:52:31 UTC+0000
. 0x81b34020:cmd.exe                                 1580   1468      1     32 2020-03-13 02:08:14 UTC+0000
. 0x81e37020:FTPServer.exe                            324   1468      3    118 2020-03-13 01:58:37 UTC+0000

将FTPServer.exe文件dump出来 volatility -f winxp.raw --profile=WinXPSP3x86 memdump -p 324 --dump-dir=/home/lyshark

lyshark@Dell:/mnt/d$ sudo volatility -f winxp.raw --profile=WinXPSP3x86 memdump -p 324 --dump-dir=/home/lyshark
Volatility Foundation Volatility Framework 2.6
************************************************************************
Writing FTPServer.exe [   324] to 324.dmp

lyshark@Dell:~$ hexedit 324.dmp
lyshark@Dell:~$ strings 324.dmp

检索命令历史 只能检索命令行历史 volatility -f winxp.raw --profile=WinXPSP3x86 cmdscan

lyshark@Dell:/mnt/d$ volatility -f winxp.raw --profile=WinXPSP3x86 cmdscan
Volatility Foundation Volatility Framework 2.6
**************************************************
CommandProcess: csrss.exe Pid: 600
CommandHistory: 0x556bb8 Application: FTPServer.exe Flags: Allocated
CommandCount: 0 LastAdded: -1 LastDisplayed: -1
FirstCommand: 0 CommandCountMax: 50
ProcessHandle: 0x4a8
**************************************************
CommandProcess: csrss.exe Pid: 600
CommandHistory: 0x3667a30 Application: DumpIt.exe Flags: Allocated
CommandCount: 0 LastAdded: -1 LastDisplayed: -1
FirstCommand: 0 CommandCountMax: 50
ProcessHandle: 0x314
Cmd #2 @ 0xaf00af: ??`?????????? ????????????????????? ?????????????????????
Cmd #3 @ 0xaf00af: ??`?????????? ????????????????????? ?????????????????????
Cmd #4 @ 0xaf00af: ??`?????????? ????????????????????? ?????????????????????
Cmd #5 @ 0xaf00af: ??`?????????? ????????????????????? ?????????????????????
Cmd #43 @ 0x27008f: ?
Cmd #46 @ 0xaf00af: ??`?????????? ????????????????????? ?????????????????????
Cmd #48 @ 0xaf0027: ?????????????????????????? ??????????@????????????????????????????????`?????????? ????????????????????? ?????????????????????
Cmd #49 @ 0xaf00af: ??`?????????? ????????????????????? ?????????????????????
**************************************************
CommandProcess: csrss.exe Pid: 600
CommandHistory: 0x36688f0 Application: cmd.exe Flags: Allocated, Reset
CommandCount: 1 LastAdded: 0 LastDisplayed: 0
FirstCommand: 0 CommandCountMax: 50
ProcessHandle: 0x44c
Cmd #0 @ 0x3668f70: calc

检索已经建立起来的网络连接： volatility -f winxp.raw --profile=WinXPSP3x86 connscan

volatility -f winxp.raw --profile=WinXPSP3x86 connscan  # 检索已经建立的网络链接
volatility -f winxp.raw --profile=WinXPSP3x86 netscan   # 检索所有网络连接情况

lyshark@Dell:/mnt/d$ volatility -f winxp.raw --profile=WinXPSP3x86 connscan
Volatility Foundation Volatility Framework 2.6
Offset(P)  Local Address             Remote Address            Pid
---------- ------------------------- ------------------------- ---
0x020296c0 192.168.1.8:1049          66.175.114.213:80         1992
0x024a22c0 192.168.1.8:1051          192.168.1.2:8888          324

根据PID查询进程加载过的DLL

lyshark@Dell:/mnt/d$ volatility -f winxp.raw --profile=WinXPSP3x86 dlllist -p 324
Volatility Foundation Volatility Framework 2.6
************************************************************************
FTPServer.exe pid:    324
Command line : "C:\Documents and Settings\Administrator\桌面\FTPServer.exe"
Service Pack 3

Base             Size  LoadCount LoadTime                       Path
---------- ---------- ---------- ------------------------------ ----
0x00400000    0x1f000     0xffff                                C:\Documents and Settings\Administrator\桌面\FTPServer.exe
0x7c920000    0x93000     0xffff                                C:\WINDOWS\system32\ntdll.dll
0x7c800000   0x11e000     0xffff                                C:\WINDOWS\system32\kernel32.dll
0x62500000     0x8000     0xffff                                C:\Documents and Settings\Administrator\桌面\network.dll
0x77be0000    0x58000     0xffff                                C:\WINDOWS\system32\msvcrt.dll
0x71a20000    0x17000     0xffff                                C:\WINDOWS\system32\WS2_32.DLL
0x77da0000    0xa9000     0xffff                                C:\WINDOWS\system32\ADVAPI32.dll
0x77e50000    0x92000     0xffff                                C:\WINDOWS\system32\RPCRT4.dll
0x77fc0000    0x11000     0xffff                                C:\WINDOWS\system32\Secur32.dll
0x71a10000     0x8000     0xffff                                C:\WINDOWS\system32\WS2HELP.dll
0x76d70000    0x22000        0x1                                C:\WINDOWS\system32\Apphelp.dll
0x77bd0000     0x8000        0x1                                C:\WINDOWS\system32\VERSION.dll
0x7c340000    0x56000        0x1                                C:\Documents and Settings\Administrator\桌面\msvcr71.dll
0x719c0000    0x3e000        0x2                                C:\WINDOWS\system32\mswsock.dll
0x60fd0000    0x55000        0x1                                C:\WINDOWS\system32\hnetcfg.dll
0x77ef0000    0x49000       0x49                                C:\WINDOWS\system32\GDI32.dll
0x77d10000    0x90000       0x74                                C:\WINDOWS\system32\USER32.dll
0x76300000    0x1d000        0x2                                C:\WINDOWS\system32\IMM32.DLL
0x62c20000     0x9000        0x1                                C:\WINDOWS\system32\LPK.DLL
0x73fa0000    0x6b000        0x1                                C:\WINDOWS\system32\USP10.dll
0x71a00000     0x8000        0x1                                C:\WINDOWS\System32\wshtcpip.dll
0x765e0000    0x93000        0x6                                C:\WINDOWS\system32\CRYPT32.dll
0x76db0000    0x12000        0x4                                C:\WINDOWS\system32\MSASN1.dll
0x76680000    0xa6000        0x2                                C:\WINDOWS\system32\WININET.dll
0x770f0000    0x8b000        0xe                                C:\WINDOWS\system32\OLEAUT32.dll

反汇编内存代码

lyshark@Dell:/mnt/d$ volatility -f winxp.raw --profile=WinXPSP3x86 malfind -p 324
Volatility Foundation Volatility Framework 2.6
Process: FTPServer.exe Pid: 324 Address: 0x4c0000
Vad Tag: VadS Protection: PAGE_EXECUTE_READWRITE
Flags: CommitCharge: 45, MemCommit: 1, PrivateMemory: 1, Protection: 6

0x004c0000  4d 5a e8 00 00 00 00 5b 52 45 55 89 e5 81 c3 64   MZ.....[REU....d
0x004c0010  13 00 00 ff d3 81 c3 95 a8 02 00 89 3b 53 6a 04   ............;Sj.
0x004c0020  50 ff d0 00 00 00 00 00 00 00 00 00 00 00 00 00   P...............
0x004c0030  00 00 00 00 00 00 00 00 00 00 00 00 f8 00 00 00   ................

0x004c0000 4d               DEC EBP
0x004c0001 5a               POP EDX
0x004c0002 e800000000       CALL 0x4c0007
0x004c0007 5b               POP EBX
0x004c0008 52               PUSH EDX
0x004c0009 45               INC EBP
0x004c000a 55               PUSH EBP
0x004c000b 89e5             MOV EBP, ESP
0x004c000d 81c364130000     ADD EBX, 0x1364
0x004c0013 ffd3             CALL EBX
0x004c0015 81c395a80200     ADD EBX, 0x2a895
0x004c001b 893b             MOV [EBX], EDI
0x004c001d 53               PUSH EBX
0x004c001e 6a04             PUSH 0x4
0x004c0020 50               PUSH EAX
0x004c0021 ffd0             CALL EAX
0x004c0023 0000             ADD [EAX], AL
0x004c0025 0000             ADD [EAX], AL
0x004c0027 0000             ADD [EAX], AL
0x004c0029 0000             ADD [EAX], AL
0x004c002b 0000             ADD [EAX], AL
0x004c002d 0000             ADD [EAX], AL
0x004c002f 0000             ADD [EAX], AL
0x004c0031 0000             ADD [EAX], AL
0x004c0033 0000             ADD [EAX], AL
0x004c0035 0000             ADD [EAX], AL
0x004c0037 0000             ADD [EAX], AL
0x004c0039 0000             ADD [EAX], AL
0x004c003b 00f8             ADD AL, BH
0x004c003d 0000             ADD [EAX], AL
0x004c003f 00               DB 0x0

检索所有注册表蜂巢： volatility -f winxp.raw --profile=WinXPSP3x86 hivelist

lyshark@Dell:/mnt/d$ volatility -f winxp.raw --profile=WinXPSP3x86 hivelist
Volatility Foundation Volatility Framework 2.6
Virtual    Physical   Name
---------- ---------- ----
0xe17f9b60 0x0a0a2b60 \Device\HarddiskVolume1\Documents and Settings\Administrator\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat
0xe1c22500 0x0b9d8500 \Device\HarddiskVolume1\Documents and Settings\Administrator\NTUSER.DAT
0xe17fb9e8 0x0a0e49e8 \Device\HarddiskVolume1\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat
0xe1a26b60 0x0a260b60 \Device\HarddiskVolume1\Documents and Settings\LocalService\NTUSER.DAT
0xe1a188d8 0x0a1438d8 \Device\HarddiskVolume1\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat
0xe1a0c008 0x0a0f3008 \Device\HarddiskVolume1\Documents and Settings\NetworkService\NTUSER.DAT
0xe1452008 0x0803f008 \Device\HarddiskVolume1\WINDOWS\system32\config\software
0xe1452b60 0x0803fb60 \Device\HarddiskVolume1\WINDOWS\system32\config\default
0xe144e758 0x08037758 \Device\HarddiskVolume1\WINDOWS\system32\config\SECURITY
0xe144f758 0x08038758 \Device\HarddiskVolume1\WINDOWS\system32\config\SAM
0xe1036b60 0x02b09b60 \Device\HarddiskVolume1\WINDOWS\system32\config\system

dump蜂巢文件(dump 账号密码)： volatility -f winxp.raw --profile=WinXPSP3x86 hivedump -o 0xe144f758

lyshark@Dell:/mnt/d$ volatility -f winxp.raw --profile=WinXPSP3x86 hivedump -o 0xe144f758
Volatility Foundation Volatility Framework 2.6
Last Written         Key
2020-03-01 04:53:50 UTC+0000 \SAM
2020-03-01 04:53:50 UTC+0000 \SAM\SAM
2020-03-01 04:53:50 UTC+0000 \SAM\SAM\Domains
2020-03-01 05:59:18 UTC+0000 \SAM\SAM\Domains\Account
2020-03-01 05:59:03 UTC+0000 \SAM\SAM\Domains\Account\Aliases
2020-03-01 05:59:18 UTC+0000 \SAM\SAM\Domains\Account\Aliases\000003E9
2020-03-01 05:59:18 UTC+0000 \SAM\SAM\Domains\Account\Aliases\Members
2020-03-01 05:59:18 UTC+0000 \SAM\SAM\Domains\Account\Aliases\Members\S-1-5-21-1343024091-152049171-1801674531
2020-03-01 05:59:18 UTC+0000 \SAM\SAM\Domains\Account\Aliases\Members\S-1-5-21-1343024091-152049171-1801674531\000003EA
2020-03-01 05:59:03 UTC+0000 \SAM\SAM\Domains\Account\Aliases\Names
2020-03-01 05:59:03 UTC+0000 \SAM\SAM\Domains\Account\Aliases\Names\HelpServicesGroup
2020-03-01 04:53:50 UTC+0000 \SAM\SAM\Domains\Account\Groups
2020-03-01 05:59:18 UTC+0000 \SAM\SAM\Domains\Account\Groups\00000201
2020-03-01 04:53:50 UTC+0000 \SAM\SAM\Domains\Account\Groups\Names
2020-03-01 04:53:50 UTC+0000 \SAM\SAM\Domains\Account\Groups\Names\None

dump蜂巢文件(dump 系统安装的软件列表)： volatility -f winxp.raw --profile=WinXPSP3x86 hivedump -o 0xe1452008

lyshark@Dell:/mnt/d$ volatility -f winxp.raw --profile=WinXPSP3x86 hivedump -o 0xe1452008
Volatility Foundation Volatility Framework 2.6
Last Written         Key
2020-03-13 01:54:54 UTC+0000 \$$$PROTO.HIV
2020-03-01 05:58:23 UTC+0000 \$$$PROTO.HIV\C07ft5Y
2020-03-01 05:58:23 UTC+0000 \$$$PROTO.HIV\C07ft5Y\WinXP
2020-03-13 01:54:54 UTC+0000 \$$$PROTO.HIV\Classes
2020-03-01 05:58:34 UTC+0000 \$$$PROTO.HIV\Classes\*
2020-03-01 05:58:34 UTC+0000 \$$$PROTO.HIV\Classes\*\OpenWithList
2020-03-01 05:58:34 UTC+0000 \$$$PROTO.HIV\Classes\*\OpenWithList\Excel.exe
2020-03-01 05:58:34 UTC+0000 \$$$PROTO.HIV\Classes\*\OpenWithList\IExplore.exe
2020-03-01 05:57:20 UTC+0000 \$$$PROTO.HIV\Classes\*\OpenWithList\MSPaint.exe
2020-03-01 04:55:48 UTC+0000 \$$$PROTO.HIV\Classes\*\OpenWithList\Notepad.exe
2020-03-01 05:58:34 UTC+0000 \$$$PROTO.HIV\Classes\*\OpenWithList\Winword.exe
2020-03-01 05:57:20 UTC+0000 \$$$PROTO.HIV\Classes\*\OpenWithList\WordPad.exe

检索注册表中账号密码： volatility -f winxp.raw --profile=WinXPSP3x86 printkey -K "SAM\Domains\Account\Users\Names"

lyshark@Dell:/mnt/d$ volatility -f winxp.raw --profile=WinXPSP3x86 printkey -K "SAM\Domains\Account\Users\Names"
Volatility Foundation Volatility Framework 2.6
Legend: (S) = Stable   (V) = Volatile

----------------------------
Registry: \Device\HarddiskVolume1\WINDOWS\system32\config\SAM
Key name: Names (S)
Last updated: 2020-03-01 05:59:18 UTC+0000

Subkeys:
  (S) Administrator
  (S) Guest
  (S) HelpAssistant
  (S) SUPPORT_388945a0

Values:
REG_NONE                      : (S)

查最后登录的用户 volatility -f winxp.raw --profile=WinXPSP3x86 printkey -K "SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon"

lyshark@Dell:/mnt/d$ volatility -f winxp.raw --profile=WinXPSP3x86 printkey -K "SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon"
Volatility Foundation Volatility Framework 2.6
Legend: (S) = Stable   (V) = Volatile

----------------------------
Registry: \Device\HarddiskVolume1\Documents and Settings\Administrator\NTUSER.DAT
Key name: Winlogon (S)
Last updated: 2020-03-01 06:03:14 UTC+0000

Subkeys:

Values:
REG_SZ        ParseAutoexec   : (S) 1
REG_SZ        ExcludeProfileDirs : (S) Local Settings;Temporary Internet Files;History;Temp
REG_DWORD     BuildNumber     : (S) 2600
----------------------------
Registry: \Device\HarddiskVolume1\Documents and Settings\LocalService\NTUSER.DAT
Key name: Winlogon (S)
Last updated: 2020-03-13 01:52:45 UTC+0000

Subkeys:

Values:
REG_SZ        ParseAutoexec   : (S) 1
REG_SZ        ExcludeProfileDirs : (S) Local Settings;Temporary Internet Files;History;Temp
REG_DWORD     BuildNumber     : (S) 2600

查询程序运行次数： volatility -f winxp.raw --profile=WinXPSP3x86 userassist

lyshark@Dell:/mnt/d$ volatility -f winxp.raw --profile=WinXPSP3x86 userassist
Volatility Foundation Volatility Framework 2.6
----------------------------
Registry: \Device\HarddiskVolume1\Documents and Settings\Administrator\NTUSER.DAT
Path: Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist\{5E6AB780-7743-11CF-A12B-00AA004AE837}\Count
Last updated: 2020-03-13 01:58:36 UTC+0000

Subkeys:

Values:

REG_BINARY    UEME_CTLSESSION : Raw Data:
0x00000000  d7 c6 af 0e 02 00 00 00                           ........

REG_BINARY    UEME_CTLCUACount:ctor :
ID:             1
Count:          2
Last updated:   1970-01-01 00:00:00 UTC+0000
Raw Data:
0x00000000  01 00 00 00 02 00 00 00 00 00 00 00 00 00 00 00   ................

REG_BINARY    UEME_UITOOLBAR  :
ID:             1
Count:          1
Last updated:   2020-03-01 06:19:01 UTC+0000
Raw Data:
0x00000000  01 00 00 00 06 00 00 00 20 77 09 4d 91 ef d5 01   .........w.M....

REG_BINARY    UEME_UITOOLBAR:0x1,120 :
ID:             1
Count:          1
Last updated:   2020-03-01 06:19:01 UTC+0000
Raw Data:
0x00000000  01 00 00 00 06 00 00 00 20 77 09 4d 91 ef d5 01   .........w.M....
----------------------------
Registry: \Device\HarddiskVolume1\Documents and Settings\Administrator\NTUSER.DAT
Path: Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist\{75048700-EF1F-11D0-9888-006097DEACF9}\Count
Last updated: 2020-03-13 02:08:19 UTC+0000

dump 用户名密码hash 需要配合两个文件的地址，才能dump出密码。

lyshark@Dell:/mnt/d$ volatility -f winxp.raw --profile=WinXPSP3x86 hivelist
Volatility Foundation Volatility Framework 2.6
Virtual    Physical   Name
---------- ---------- ----
0xe17f9b60 0x0a0a2b60 \Device\HarddiskVolume1\Documents and Settings\Administrator\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat
0xe1c22500 0x0b9d8500 \Device\HarddiskVolume1\Documents and Settings\Administrator\NTUSER.DAT
0xe17fb9e8 0x0a0e49e8 \Device\HarddiskVolume1\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat
0xe1a26b60 0x0a260b60 \Device\HarddiskVolume1\Documents and Settings\LocalService\NTUSER.DAT
0xe1a188d8 0x0a1438d8 \Device\HarddiskVolume1\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat
0xe1a0c008 0x0a0f3008 \Device\HarddiskVolume1\Documents and Settings\NetworkService\NTUSER.DAT
0xe1452008 0x0803f008 \Device\HarddiskVolume1\WINDOWS\system32\config\software
0xe1452b60 0x0803fb60 \Device\HarddiskVolume1\WINDOWS\system32\config\default
0xe144e758 0x08037758 \Device\HarddiskVolume1\WINDOWS\system32\config\SECURITY
0xe144f758 0x08038758 \Device\HarddiskVolume1\WINDOWS\system32\config\SAM
0xe1294b60 0x02d2ab60 [no name]
0xe1036b60 0x02b09b60 \Device\HarddiskVolume1\WINDOWS\system32\config\system
0xe102e008 0x02b02008 [no name]

lyshark@Dell:/mnt/d$ volatility -f winxp.raw --profile=WinXPSP3x86 hashdump -y 0xe1036b60 -s 0xe144f758
Volatility Foundation Volatility Framework 2.6
Administrator:500:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
Guest:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
HelpAssistant:1000:9f17bb7d77a274f1d01bc972226c8a81:c28826f36523c96b0035431d28c1a2fb:::
SUPPORT_388945a0:1002:aad3b435b51404eeaad3b435b51404ee:14b41dba4b82f80b88ce2035785bc73d:::
lyshark@Dell:/mnt/d$

procdump: ProcDump - Sysinternals | Microsoft Learn

C:\Users\LyShark\Desktop>procdump.exe -ma ollyice.exe ollyice.dmp

ProcDump v9.0 - Sysinternals process dump utility
Copyright (C) 2009-2017 Mark Russinovich and Andrew Richards
Sysinternals - www.sysinternals.com

[16:03:51] Dump 1 initiated: C:\Users\LyShark\Desktop\ollyice.dmp
[16:03:52] Dump 1 writing: Estimated dump file size is 94 MB.
[16:03:52] Dump 1 complete: 94 MB written in 0.5 seconds
[16:03:52] Dump count reached.

strings提取特殊字符: https://technet.microsoft.com/en-us/sysinternals/bb897439.aspx

C:\Users\LyShark\Desktop>strings.exe ollyice.dmp > ollyice.log

Strings v2.53 - Search for ANSI and Unicode strings in binary images.
Copyright (C) 1999-2016 Mark Russinovich
Sysinternals - www.sysinternals.com

volatility 常用命令总结

volatility -f winxp.raw imageinfo                      # 查询镜像基本信息
volatility -f winxp.raw --profile=WinXPSP3x86 pstree   # 查运行进程进程树
volatility -f winxp.raw --profile=WinXPSP3x86 pslist   # 查正在运行的进程
volatility -f winxp.raw --profile=WinXPSP3x86 memdump -p 324 --dump-dir=/home/lyshark    # 将PID=324的进程dump出来
volatility -f winxp.raw --profile=WinXPSP3x86 procdump -p 324 --dump-dir=/home/lyshark   # 将PID=324进程导出为exe
volatility -f winxp.raw --profile=WinXPSP3x86 dlldump -p 324 --dump-dir=/home/lyshark    # 将PID=324进程的所有DLL导出

volatility -f winxp.raw --profile=WinXPSP3x86 getsids -p 324  # 查询指定进程的SID
volatility -f winxp.raw --profile=WinXPSP3x86 dlllist -p 324  # 查询指定进程加载过的DLL
volatility -f winxp.raw --profile=WinXPSP3x86 threads -p 324  # 列出当前进程中活跃的线程
volatility -f winxp.raw --profile=WinXPSP3x86 drivermodule    # 列出目标中驱动加载情况
volatility -f winxp.raw --profile=WinXPSP3x86 malfind -p 324 -D /home/lyshark   # 检索内存读写执行页

volatility -f winxp.raw --profile=WinXPSP3x86 iehistory # 检索IE浏览器历史记录
volatility -f winxp.raw --profile=WinXPSP3x86 joblinks  # 检索计划任务
volatility -f winxp.raw --profile=WinXPSP3x86 cmdscan   # 只能检索命令行历史
volatility -f winxp.raw --profile=WinXPSP3x86 consoles  # 抓取控制台下执行的命令以及回显数据
volatility -f winxp.raw --profile=WinXPSP3x86 cmdline   # 列出所有命令行下运行的程序

volatility -f winxp.raw --profile=WinXPSP3x86 connscan    # 检索已经建立的网络链接
volatility -f winxp.raw --profile=WinXPSP3x86 connections # 检索已经建立的网络链接
volatility -f winxp.raw --profile=WinXPSP3x86 netscan     # 检索所有网络连接情况
volatility -f winxp.raw --profile=WinXPSP3x86 sockscan    # TrueCrypt摘要TrueCrypt摘要

volatility -f winxp.raw --profile=WinXPSP3x86 timeliner # 尽可能多的发现目标主机痕迹

volatility -f winxp.raw --profile=WinXPSP3x86 hivelist                                       # 检索所有注册表蜂巢
volatility -f winxp.raw --profile=WinXPSP3x86 hivedump -o 0xe144f758                         # 检索SAM注册表键值对
volatility -f winxp.raw --profile=WinXPSP3x86 printkey -K "SAM\Domains\Account\Users\Names"  # 检索注册表中账号密码
volatility -f winxp.raw --profile=WinXPSP3x86 hashdump -y system地址 -s SAM地址               # dump目标账号Hash值
volatility -f winxp.raw --profile=WinXPSP3x86 printkey -K "SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon"  # 查最后登录的用户

volatility -f winxp.raw --profile=WinXPSP3x86 userassist                                     # 查询程序运行次数

转储文件后通过windbg分析

微软技术分享
关注
  • 3
    点赞
  • 踩
  • 14
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
Kali linux 学习笔记（八十八）计算机取证——活取证和死取证 2020.4.22
闵行小鱼塘
04-22 1589
本节学习活取证和死取证
解决 volatility ERROR: volatility.debug: The requested file doesn‘t exist 问题
最新发布
于高山之巅，方见大河奔涌；于群峰之上，更觉长风浩荡。
01-16 769
之前没有这种情况，开始还特意检查了一下是不是文件名写错了，但是发现没有写错，后面找了一下资料。这样就可以了，具体原因我也不知道是什么，看别人说是 bug。把内存镜像的位置换成绝对路径。
volatile在debug和release模式下的意义
选择飞翔
11-11 1184
Debug 通常称为调试版本，它包含调试信息，并且不作任何优化，便于程序员调试程序。Release 称为发布版本，它往往是进行了各种优化，使得程序在代码大小和运行速度上都是最优的，以便用户很好地使用。 release可能因为优化过度，从而出现一些错误。 volatile提醒编译器它后面所定义的变量随时都有可能改变，因此编译后的程序每次需要存储或读取这个变量的时候，都会直接从变量地址中读取数据。
Volatility工具使用详解&&做题
weixin_48876267的博客
09-20 1228
Volatility是一款开源内存取证框架，能够对导出的内存镜像进行分析，通过获取内核数据结构，使用插件获取内存的详细情况以及系统的运行状态。
Volatility使用笔记
yyk82p的博客
12-19 1308
Volatility是一款开源内存取证框架，能够对导出的内存镜像进行分析，通过获取内核数据结构，使用插件获取内存的详细情况以及系统的运行状态
内存取证 volatility
07-12
内存取证 volatility
Volatility内存取证
12-30
在Kali Liunx系统下使用Volatility工具对未知内存镜像进行详细分析取证
volatility内存取证软件，可用于windows环境下
09-20
The Volatility Framework is a completely open collection of tools, implemented in Python under the GNU General Public License, for the extraction of digital artifacts from volatile memory (RAM) ...
volatility内存取证命令合集
01-10
volatility内存取证命令合集，原版volatility内存取证CheatSheet，赶紧学习一波！
Volatility内存取证大杀器的常用的命令
08-05
Volatility内存取证大杀器的常用命令，一般都只用这些，超级实惠
内存取证习题复现
m0_50911938的博客
01-10 1488
内存取证 取证文件后缀 .raw、.vmem、.img 常用命令(imageinfo，pslist，dumpfiles，memdump) 可疑的进程（notepad，cmd） 和磁盘取证结合起来考察 了解部分操作系统原理 常见文件后缀dmg，img volatility基础命令 可以使用 -h 参数获取使用方法和插件介绍，列举几个常用到的命令 imageinfo：显示目标镜像的摘要信息，这常常是第一步，获取内存的操作系统类型及版本，之后可以在 –profile 中带上对应的操作系统，后续操作都要带上这一
内存取证-volatility工具的使用 （史上更全教程，更全命令）
热门推荐
路baby的博客
10-20 6万+
内存取证-volatility工具的使用 （史上更全教程，更全命令） 安装步骤 命令解析 工具插件分析 例题讲解
[V&N2020 公开赛]内存取证
volcano的博客
04-08 4528
题目地址： https://buuoj.cn/challenges#[V&N2020 公开赛]内存取证 这题用到的内存取证分析工具是Volatility 关于这个工具的具体命令非常多，可以在官方页面仔细看看 解题 先下载上面的附件，这种raw文件是内存取证工具Dumpit提取内存生成的内存转储文件。 ...
Volatility内存取证使用
qq_42947816的博客
08-05 5746
1.背景 本文主要使用Dumpit及Volatility对计算机进行取证，对内存文件进行分析，获取内存重要信息， 还原攻击。 2.内存镜像Dumpit 2.1 简介 Dumpit是用于生成Windows机器的物理内存转储，可运行在32位/64位系统中，可完美地部署在USB闪存盘上，快速响应事件。 2.2 下载链接 下载链接：https://github.com/thimbleweed/All-In-USB/tree/master/utilities/DumpIt 2.3 Dumpit使用 1.将软件拷贝到需
内存取证-Volatility安装使用以及一些CTF比赛题目
Bnessy
04-02 2万+
一 、简介 Volatility是一款开源内存取证框架，能够对导出的内存镜像进行分析，通过获取内核数据结构，使用插件获取内存的详细情况以及系统的运行状态。 二 、安装Volatility 下载源码 https://github.com/volatilityfoundation/volatility 解压 unzip volatility-master.zip 安装依赖 crypto pip2 install pycryptodome #如果安装失败，可使用以下命令切换国内源 pip2
Electron理论知识 3 - 专业名词解释
liuzhen007的专栏
05-26 931
名词解释 1.MMCSS（Multimedia Class Scheduler Service） 多媒体类调度服务，用来获取不同线程的优先级。
内存取证工具-volatility、foremost
weixin_30808253的博客
07-10 1705
内存取证 1. 内存取证工具volatility 猜测dump文件的profile值 root@kali:~/CTF# volatility -f mem.vmem imageinfo Volatility Foundation Volatility Framework 2.6 INFO : volatility.debug : Determining profile bas...
Volatility
ShenMian000
10-03 3万+
下载 发行版下载 语法 Volatility -f <RAW文件> <插件> [插件参数] 基本插件 Imageinfo 用于查看内存样本的摘要信息。 > volatility -f IMAGE.raw imagei
浅谈内存取证
weixin_50464560的博客
09-15 1228
i春秋作家：lem0n原文来自：浅谈内存取证0x00 前言网络攻击内存化和网络犯罪隐遁化,使部分关键数字证据只存在于物理内存或暂存于页面交换文件中,这使得传统的基于文件系统的计算机取证不能有效应对.内存取证作为传统文件系统取证的重要补充,是计算机取证科学的重要组成部分,通过全面获取内存数据、详尽分析内存数据,并在此基础上提取与网络攻击或网络犯罪相关的数字证据,近年来,内存取证已赢得安全社区的持续关注,获得了长足的发展与广泛应用,在网络应急响应和网络犯罪调查中发挥着不可替代的作用.首先回顾了内存取证研究的起源
Volatility 内存映像提取
06-06
要使用Volatility提取内存映像，可以按照以下步骤进行操作： 1. 下载和安装Volatility：可以从Volatility官网下载最新版本的Volatility，并按照官方文档进行安装。 2. 获取内存映像：要获取内存映像，可以使用dd命令将内存转储到文件中，例如： ``` dd if=/dev/mem of=memdump bs=1M count=1024 ``` 这个命令将内存中的前1024MB数据转储到memdump文件中。这个过程可能需要root权限。 3. 识别操作系统和内核版本：使用Volatility命令行工具，运行以下命令来识别内存映像中的操作系统和内核版本： ``` volatility -f memdump imageinfo ``` 这个命令会输出内存映像中的操作系统和内核版本信息。 4. 进行内存分析：使用Volatility命令行工具，可以运行各种插件来进行内存分析，例如： ``` volatility -f memdump pslist ``` 这个命令将输出内存映像中运行的进程列表。 以上是使用Volatility提取内存映像的基本步骤。Volatility还支持许多其他的插件和功能，可以根据需要进行使用。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

微软技术分享

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值