Volatility取证工具使用学习日记

 Volatility取证工具还在学习，记录一下

目录

陇剑杯取证

世界技能大赛湖北省取证比赛

安洵杯取证赛题

长安杯 取证

---

本文章所需文件：

链接:https://pan.baidu.com/s/1TSCTf-7_HpunqvmZKXGD_A?fm=lk0 提取码:aqds

鹦鹉系统自带volatility，kali也可自行安装volatility工具

输入volatility -h

可支持的插件

常用命令

Pslist----------------列出进程信息

Cmd.exe  -----------命令进程

cnCryopt.exe  --------加密进程

Hivelist--------------列出注册表进程

查看主机名

\REGISTRY\MACHINE\SYSTEM    的虚地址

-o    选择虚地址

Printkey   打印键值

选择set001

选择control

选择computername

再选computername

主机名

所以主机名键值是

printkey -K "ControlSet001\Control\ComputerName\ComputerName"

选择一个文件下载下来

Hivedump  -o 虚地址（virtual）

Userassist-------------正在运行的程序

Filescan--------显示已经打开的文件包括隐藏文件

Netscan-------------监听主动连接（谁连接了你的地址）

查ip（你的ip）

Procdump-----------------------将软件进程下载

-p（pid）------指定进程号

-D ./ -----------指定下载地址，路径为当前目录

Memdump（常用）---------------------将某个进程内存转存下载下来

-n  （name名字）

Dumpfiles-------------------------将某个文件下载下来

-Q  ---------文件内存地址

Dlllist-----------------------------显示进程加载的文件

-p  (pid)

Clipboard---------------------------显示剪贴板内容

Iehistory--------------------------------浏览器历史

strings *.dmp | grep "download.exe.torrent" -C 10

Strings--------寻找字符串工具

-C 10-------------上下10行显示

陇剑杯取证

 选中镜像分析

将哈希值dump下来

此时可以用mimikatz插件将明文密码下载下来（我没安装）

所以使用PTF（专门找密码的软件）

因为vmem属于内存文件，选择memory analysis

直接选windows更快

密码出来了

世界技能大赛湖北省取证比赛

1. 获取admin密码

直接跑

对镜像文件分析

Hashdump下载，可用lasdump和mimikatz插件直接获取，我自己用ptf来

1. 获取IP和地址

Ip就是192.168.85.129

主机名

先扫注册表

Machine\system的虚地址

直接下载

找到主机键值

主机名

1. 获取桌面上的flag.txt
2. 原理我也不懂

查看

1. 找出挖矿病毒

Established代表连接

这就是挖矿地址

1. 病毒服务找出来

父进程3036

使用svcscan扫描

找到3036

Servername为服务名

1. 获得恶意进程pid

2588和3036就是恶意进程pid

安洵杯取证赛题

题目下载地址：链接：https://pan.baidu.com/s/1IQqpaBk7OXsj8BW0h3OShw 提取码：mz1l

-f      指定路径文件

Imageinfo        将镜像文件信息输出

Hashdump  --------将哈希值下载下来

Cmd5解密

发现两个cmd.exe和cncrypt.exe（cncrypt加密工具）

扫描一下cmd

Cmdscan   --------将历史命令显示

发现flag.ccx文件，并且提升密码就是administrator的密码

Filescan   -------扫描文件

将文件下载下来，

-Q 指定文件地址

--dump-dir=   指定下载地址   ./代表当前目录

到这应该可以知道，flag.cxx就是用cncrypt加密的，密码就是超级用户密码

所以使用cncryp工具解密

选择自动加载设备，输入超级用户密码

得flag

长安杯 取证

注意到记事本notepad程序，查看一下，发现加密encrypt，而这个20211209可能是密码

查找一下flag类文件，发现zip和png，都下载下来

Zip解压发现需要密码，把记事本密码试一下，果然可以

发现加密源码，再查看png，发现一串密文

意思很明显，通过审计源码写脚步解密

本人太菜，python还不会，写了个php。。。。。。。。

暂时到这