打开
下载mem.raw
把mem.raw放入kali
volatility查看镜像
volatility -f mem.raw imageinfo
建议用profile, 后面用Win7SP1x86
查看内存进程:
volatility -f men.raw pslist --profile Win7SP1x86
发现有几个进程
了解发现:
TrueCrypt.exe是一款磁盘加密工具,所有虚拟磁盘上的文件都被自动加密,需要通过密码来进行访问。
notepad.exe windows自带记事本
mspaint.exe win7自带画图工具
DumpIt.exe 内存镜像读取
查看提取内存进程中的数据
volatility -f mem.raw --profile=Win7SP1x86 userassist
看到mspaint.exe和NOTEPAD.EXE都无数据
继续扫描文件
volatility -f mem.raw --profile=Win7SP1x86 filescan |grep -E 'png|jpg|gif|zip|rar|7z|pdf|txt|doc'
可以看到在0x000000001efb29f8处有个无标题.png文件,了解到无标题.png是windows画图工具的默认文件名,把图片dump下来
volatility -f mem.raw --profile=Win7SP1x86 dumpfiles -Q 0x000000001efb29f8 --dump-dir=./
得到一张图片
再扫描桌面文件
volatility -f mem.raw --profile=Win7SP1x86 filescan | grep "Desktop"
通过了解Dumpit.exe默认生成文件是 {hash}.raw, 默认保存路径是dumpit.exe所在的路径
把生成的文件dump下来
volatility -f mem.raw --profile=Win7SP1x86 dumpfiles -Q 0x000000001fca1130 --dump-dir=./
发现没有数据
判断取证的时候dumpit.exe还在运行中 ,把dumpit.exe的内存镜像dump下来
dump进程内存:memdump -p 进程PID -D 路径
找到进程pid
volatility -f mem.raw --profile=Win7SP1x86 memdump -p 3380 -D ./
发现有个3380.dmp内存镜像
foremost分离
发现flag.txt加密了,联想到之前扫描到的png文件上的内容,猜测应该是flag.txt的密码
解压,拿到flag