Volatility取证工具还在学习,记录一下
目录
本文章所需文件:
链接:https://pan.baidu.com/s/1TSCTf-7_HpunqvmZKXGD_A?fm=lk0 提取码:aqds
鹦鹉系统自带volatility,kali也可自行安装volatility工具
输入volatility -h
可支持的插件
常用命令
Pslist----------------列出进程信息
Cmd.exe -----------命令进程
cnCryopt.exe --------加密进程
Hivelist--------------列出注册表进程
查看主机名
\REGISTRY\MACHINE\SYSTEM 的虚地址
-o 选择虚地址
Printkey 打印键值
选择set001
选择control
选择computername
再选computername
主机名
所以主机名键值是
printkey -K "ControlSet001\Control\ComputerName\ComputerName"
选择一个文件下载下来
Hivedump -o 虚地址(virtual)
Userassist-------------正在运行的程序
Filescan--------显示已经打开的文件包括隐藏文件
Netscan-------------监听主动连接(谁连接了你的地址)
查ip(你的ip)
Procdump-----------------------将软件进程下载
-p(pid)------指定进程号
-D ./ -----------指定下载地址,路径为当前目录
Memdump(常用)---------------------将某个进程内存转存下载下来
-n (name名字)
Dumpfiles-------------------------将某个文件下载下来
-Q ---------文件内存地址
Dlllist-----------------------------显示进程加载的文件
-p (pid)
Clipboard---------------------------显示剪贴板内容
Iehistory--------------------------------浏览器历史
strings *.dmp | grep "download.exe.torrent" -C 10
Strings--------寻找字符串工具
-C 10-------------上下10行显示
陇剑杯取证
选中镜像分析
将哈希值dump下来
此时可以用mimikatz插件将明文密码下载下来(我没安装)
所以使用PTF(专门找密码的软件)
因为vmem属于内存文件,选择memory analysis
直接选windows更快
密码出来了
世界技能大赛湖北省取证比赛
- 获取admin密码
直接跑
对镜像文件分析
Hashdump下载,可用lasdump和mimikatz插件直接获取,我自己用ptf来
- 获取IP和地址
Ip就是192.168.85.129
主机名
先扫注册表
Machine\system的虚地址
直接下载
找到主机键值
主机名
- 获取桌面上的flag.txt
- 原理我也不懂
查看
- 找出挖矿病毒
Established代表连接
这就是挖矿地址
- 病毒服务找出来
父进程3036
使用svcscan扫描
找到3036
Servername为服务名
- 获得恶意进程pid
2588和3036就是恶意进程pid
安洵杯取证赛题
题目下载地址:链接:https://pan.baidu.com/s/1IQqpaBk7OXsj8BW0h3OShw 提取码:mz1l
-f 指定路径文件
Imageinfo 将镜像文件信息输出
Hashdump --------将哈希值下载下来
Cmd5解密
发现两个cmd.exe和cncrypt.exe(cncrypt加密工具)
扫描一下cmd
Cmdscan --------将历史命令显示
发现flag.ccx文件,并且提升密码就是administrator的密码
Filescan -------扫描文件
将文件下载下来,
-Q 指定文件地址
--dump-dir= 指定下载地址 ./代表当前目录
到这应该可以知道,flag.cxx就是用cncrypt加密的,密码就是超级用户密码
所以使用cncryp工具解密
选择自动加载设备,输入超级用户密码
得flag
长安杯 取证
注意到记事本notepad程序,查看一下,发现加密encrypt,而这个20211209可能是密码
查找一下flag类文件,发现zip和png,都下载下来
Zip解压发现需要密码,把记事本密码试一下,果然可以
发现加密源码,再查看png,发现一串密文
意思很明显,通过审计源码写脚步解密
本人太菜,python还不会,写了个php。。。。。。。。
暂时到这