volatility2各类外部插件使用简介

已于 2022-05-24 10:23:36 修改
阅读量5.9k 收藏 41
点赞数 7
分类专栏： 应急响应/电子取证 信息安全 文章标签： volatility 电子取证 内存分析
于 2020-12-10 16:50:35 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/q851579181q/article/details/110956485
版权
本文介绍了Volatility内存取证工具的各种插件及其使用方法。包括提取密码、网络流量包信息、恶意软件检测、浏览器分析等功能。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

插件使用方式：

1.把插件文件放入volatility的plugins中

2.使用--plugins参数指定插件目录

官方-社区插件项目

https://github.com/volatilityfoundation/community

注意：

1.如果使用出错，可以打开插件文件或者单独运行，可能是有些库没有安装

2.官方虽然提供了一个社区插件的整合仓库，却没有给出详细说明。文件夹名称是插件制作者的姓名，文件夹内才是插件真正的名称。下面挑一部分进行说明。

mimakatz插件：提取内存中的密码

安装依赖库：sudo pip install construct==2.5.5-reupload

volatility --plugins=./community/FrancescoPicasso/ -f memory mimikatz

ndispktscan插件：搜索内核的网络流量包信息

https://github.com/bridgeythegeek/ndispktscan

volatility --plugins=./community/AdamBridge/ -f Adv.raw ndispktscan

VolDiff  恶意软件检测

https://github.com/aim4r/VolDiff

它是基于volatility，但是需要单独使用。

Chrome Ragamuffin

分析内存中的chrome浏览器运行实例，可以分析正在浏览的页面

https://github.com/cube0x8/chrome_ragamuffin

volatility --plugins=./community/AlessandroDeVito -f Adv.raw  chrome_ragamuffin --analysis history

volatility --plugins=./community/AlessandroDeVito -f Adv.raw  chrome_ragamuffin --analysis renderer

gargoyle

检测'gargoyle' 攻击，gargoyle是一种内存扫描规避技术

rdpkeys

分析windows RDP远程连接的数据，提取秘钥，可配合wireshark对抓到的rdp流量解密。

powersh

对内存中的（隐藏）powershell进程进行分析

wnf

https://github.com/citronneur/volatility-wnf/

进程的subscribers 信息分析

LinuxFirefox

参数:

    linux_ffhis    查看历史记录

    linux_ffcookies    查看cookie

vmtools

扫描镜像内vmtools的相关信息

browserhooks

https://github.com/eset/volatility-browserhooks

木马钩子探测

SystemInfo

自动获取取证所需的基本系统信息，例如系统名称、时区、关机时间、安装信息等下

参数: systeminfo

volatility --plugins=./community/GlennEdwards  -f memory  systeminfo

usbstor

从注册表中读取Usb设备插入信息

参数:usbstor

volatility --plugins=./community/JamesHall_KevinBreen  -f memory  usbstor

LastPass

从浏览器内存空间中读取账户密码信息

参数：lastpass

dyrescan

dyre木马扫描

bitlocker

./community/MarcinUlikowski/
这个插件能找到并提取BitLocker全卷加密密钥(FVEK)，可以用来解密BitLocker卷。

只支持：Windows Vista/7

volatility --plugins=./community/MarcinUlikowski/ -f win7-memory  --pro file=Win7SP1x86  bitlocker

volatility-bitlocker

./community/ThomasWhite

https://github.com/tribalchicken/volatility-bitlocker

上面插件的同类插件,支持win7、 8、 10

使用介绍：

如何获得bitlocker秘钥并解密磁盘

Whoa!

备注：可以使用EFDD ( Elcomsoft Forensic Disk Decryptor)快速解密

SqliteFind

https://github.com/mbrown1413/SqliteFind

可以从内存中找出sqlite数据库信息

vivedump

./community-master/PeterCasey

VR设备信息解析

vol-openvpn

PhilipHuppert/openvpn

https://github.com/Phaeilo/vol-openvpn

OpenVPN 证书解析：

volatility -f "OpenVPN-2.3.4 XP 32.elf" --profile=WinXPSP3x86 openvpn

autoruns

https://github.com/tomchop/volatility-autoruns

列出自启动程序：

volatility --plugins=./community/ThomasChopitea -f win7-memory --profile=Win7SP1x86  autoruns

filevault2

目录：./community/ThomasWhite

解析Apple FileVault 2 Volume密钥

https://github.com/tribalchicken/volatility-filevault2

osint

https://github.com/tranvienha/volatility-osint

解析出不同进程中的url和ip

WMDF

基于volatility的windows图形化内存分析工具

https://drive.google.com/file/d/0B-vpxT5wQCuSdEFxNVdCeHF0a0U/view

APT扫描探测插件

https://github.com/JPCERTCC/aa-tools

superponible插件项目

https://github.com/superponible/volatility-plugins

uninstallinfo.py - Dumps HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall from memory

prefetch.py - scan memory for prefetch files and dump filename and timestamps

idxparser.py - scan memory Java IDX files and extract details

firefoxhistory.py - firefoxhistory, firefoxcookies, and firefoxdownloads plugins to extract the following firefox history data: moz_places, moz_cookies, and moz_downloads

chromehistory.py - chromehistory, chromevisits, chromesearchterms, chromedownloads, chromedownloadchains, and chromecookies plugins to extract Chrome SQLite artifacts

sqlite_help.py - supporting functions SQLite used in Firefox and Chrome plugins

trustrecords.py - extract Office TrustRecords registry key information

ssdeepscan.py - like yarascan, but searches for pages matching an ssdeep hash

malfinddeep.py - whitelist code found by malfind based on an ssdeep hash

apihooksdeep.py - whitelist code found by apihooks based on an ssdeep hash

第七届“蓝帽杯”初赛取证题目超详细解析，检材可以看我的下载资源，有百度网盘的分享链接
ntrybw的博客
08-26 3795
刚刚打完比赛，准备晚上写一下wp，刚好整理一下题目，ctf的题目一般都有，取证不一定，这里还是要感谢蓝猫，大规模取证题目，让警校大大获利，更加方便晋级。
电子数据取证技术，第四章，Windows操作系统取证技术
qq_34871944的博客
01-08 680
预定义项，是代表注册表中的主要部分的项，指在注册表中以HKEY作为前缀的文件夹，位于注册表树状结构的最顶层。预定义项类似于硬盘上的根目录，Windows 2000/XP注册表编辑器中有五大预定义项，分别为 ：HKEY_USERS在Windows 9x操作系统的注册表中，另外还有一个预定义项。
volatility3的使用详解-插件解释等
chinese_cabbage0的博客
12-22 1772
Volatility 是一个开源的内存取证框架，主要用于分析计算机系统的运行时内存（RAM）快照。它支持多种操作系统，包括 Windows、Linux 和 MacOS，并且能够从物理内存中提取各种信息，帮助进行安全事件响应、恶意软件分析、数字调查等
volatility-plugins, 我为波动而编写的插件.zip
09-17
volatility-plugins, 我为波动而编写的插件 用户定义的波动插件我所做的插件：uninstallinfo.py - 从内存转储 HKLMSOFTWAREMicrosoftWindowsCurrentVersionUninstallprefetch.py - 扫描预取文件的内存和转
内存取证之windows-Volatility 3
最新发布
2303_81631620的博客
03-20 1019
系统信息：显示操作系统的基本信息。vol -f <内存镜像文件路径> windows.info进程列表：列出所有进程。vol -f <内存镜像文件路径> windows.pslist网络连接：列出网络连接和套接字。vol -f <内存镜像文件路径> windows.netscan文件扫描：扫描内存中的文件对象。vol -f <内存镜像文件路径> windows.filescan注册表分析：列出注册表 hive 文件。
volatility_plugins:一些波动性插件
05-05
CAVEAT：这些仅适用于并且仅在64位Linux系统上进行了测试。 必须为32位系统定义一个不同的VType。 下面的用法说明假定波动性已经与依赖项一起安装。 仅支持最新版本（不支持发布的版本2.4或2.4.1，而是实际的最新母版）。 linux_python_strings 最初，此插件从运行的python进程的内存中提取python字符串。 vol.py \ --plugins=profiles:<other>:<path>/plugins \ --profile=<profile> \ -f <path> \ linux_python_strings -p <PID> --dump-dir . 这将打印出PI
volatility_plugins:波动性插件
06-09
波动率插件 波动性插件 我编写或做出重大贡献的框架插件集合。 PlugX 配置提取是插件的分支和更新，位于 支持更多配置大小并移至 ctypes 结构以解析配置 blob。 Andromeda 配置提取插件将尝试定位和提取 C2 URL、用于初始通信的 RC4 密钥以及 phone-home 格式字符串中的参数 安装 仙女座插件需要安装 PyCrypto 和 python 模块。 建议手动安装 yara 以获得最新版本，Yara 站点上提供了说明。 在基于 Debian 的系统上，这些模块可以通过 $ apt-get install python-crypto python-yara PyCrypto 也可以通过 pip 安装 $ sudo pip install pycrypto 仙女座插件还需要安装 。 在 *nix（包括 Mac OS X、Linux、BSD 等）上，执
volatility-plugins:波动性框架插件
04-29
挥发性插件 波动性框架插件 facebook_extractor 设置 只需在本地克隆存储库，然后在“ / volatility / volatility / plugins /”路径内复制facebook_extractor.py。 否则，请使用Volatility的--plugins参数指定其目录。 用法 facebook_extractor.py包含3个Volatility插件： facebookgrabinfo facebookcontacts facebook消息 对于每个插件，您可以使用以下命令查看其可用选项：$ python vol.py“ facebook-plugin” -h 通常，您首先需要运行facebookcontacts，以获取一些联系人ID和所有者的ID。 然后，您可以获取所有者的信息，并与其他联系人一起查找所有者的消息。 例子： 笔记 oid参数不是
Volatility-plugins:波动率插件
06-23
波动性插件 这是 Kudelski 安全团队内部开发的 Volatility 插件存储库。
volatility取证
sechelper的博客
12-07 1798
vil取证，常用命令合集，11道实践案例，CTF相关
网络安全学习中的工具
gugonggugong的博客
12-06 3412
1> Nmap Nmap，也就是Network Mapper，最早是Linux下的网络扫描和嗅探工具包。 系统管理员可以利用nmap来探测工作环境中未经批准使用的服务器，但是黑客会利用nmap来搜集目标电脑的网络设定，从而计划攻击的方法。 其基本功能有三个，一是探测一组主机是否在线；其次是扫描 主机端口，嗅探所提供的网络服务；还可以推断主机所用的操作系统 。 2> P0f p0f是一个纯粹的被动指纹识别工具，它在不干涉双方通信的情...
volatility_plugins:作者创建的波动性插件
05-05
作者创建的波动性插件 此处发布的插件可与Volatility v2.4一起使用。 BASELINE插件套件 PROCESSBL一个在2个内存映像中比较正在运行的进程的插件-可用于检测新启动的进程-可用于检测新加载的DLL SERVICESBL一个在2个内存映像中比较服务的插件-可用于检测服务配置的修改-可用于检测新安装的服务 DRIVERBL一个可在2个内存映像中比较内核驱动程序的插件-可用于检测新安装/加载的驱动程序 恶意程序 一个插件，可根据预定义规则搜索恶意进程。 输出类型：文本 英迪克斯 一个插件，用于解析和解析INDX（$ I30）条目 输出类型：文本，正文 美国海军陆战队 一个用于解析和解析USNJRNL（$ J）条目的插件 输出类型：文本，正文 日志文件 一个插件，用于解析和解析$ Logfile条目。 它将处理以下条目类型： UPDATE FILENAME ALLOC
内存取证软件 Volatility等
04-16
计算机取证技术可以在案件发生以后，采取有效的信息技术手段对存储在网络中的计算机及其相关设备中的数据进行收集、固定与分析，从而寻找出与犯罪事实相符的电子证据。内存取证是当前计算机取证技术研究的热点问题之一，本文件包含各类取证工具及其简单使用与分析文档。
栋的月结 | 第二回合（定期更新、动态、架构、云技术、算法、后端、前端、收听/收看、英文、书籍、影视、好歌、新奇）[含泪总结.. 憋泪分享！]
纽雪澳诺加海美德的博客
03-28 5784
开篇词 大家好！以下是我在 2020 年 2 月 1 日至 29 日的所见、所闻、所学和所悟。 现在，我把它们安利给你们。   定期更新 原创专栏： 一文搞定 Linux 管理员手册：既简单又深刻 官方授权： Baeldung Java 周评 符合官方许可： Spring 官方指南   动态 在我的《一文搞定》系列专栏里新增了： 《xxxx》 从我的英...
volatility及部分插件的安装与配置
weixin_73049307的博客
10-10 1789
vol.py --plugin=/opt/volatility/plugins -f /root/neicun.vmem --profile=Win7SP1x64 mimikatz（系统版本是：Win7SP1x64）vol.py --plugin=/opt/volatility/plugins -f [内存镜像文件路径] --profile [系统版本] [插件名]当使用第三方插件的时候，需要使用 --plugin 属性指定插件的存放目录。（mimikatz.py插件可以从内存中提取明文密码）
取证工具volatility插件版学习记录
crowsec
12-27 990
在以前学习过volatility的基础功能，主要是使用volatility独立版进行学习的，前几天看到一个赛题，需要用到的是volatility的mimikatz模块，因为以前没使用过那个模块，所以在这里记录下。
Volatility2安装使用以及CTF比赛题目（复现）
Aluxian_的博客
12-05 8085
Volatility是一款开源内存取证框架，能够对导出的内存镜像进行分析，通过获取内核数据结构，使用插件获取内存的详细情况以及系统的运行状态。题目链接：链接: https://pan.baidu.com/s/1s9Ey8G12COT_vI65TwhIKw?pwd=shkd 提取码: shkd Volatility2.6需要python2，pip安装模块也需要2版本，具体命令根据实际情况调整。本次是比赛题目的复现参考大佬链接自己在做了一遍：https://bnessy.blog.csdn.net/articl
volatility2工具的使用vol2工具篇
chinese_cabbage0的博客
12-21 910
Volatility是一款开源内存取证框架，能够对导出的内存镜像进行分析，通过获取内核数据结构，使用插件获取内存的详细情况以及系统的运行状态。 Volatility是一款非常强大的内存取证工具,它是由来自全世界的数百位知名安全专家合作开发的一套工具, 可以用于windows,linux,mac osx,android等系统内存取证。Volatility是一款开源内存取证框架，能够对导出的内存镜像进行分析，通过获取内核数据结构，使用插件获取内存的详细情况以及系统的运行状态。
volatility2 with mimikatz|装mimikatz插件踩的坑
Rainy_Madison的博客
09-03 3609
volatility插件mimikatz安装过程
volatility2中插件 mimikatz如何使用
03-16
<think>好的，我现在要帮助用户解决在Volatility2中使用mimikatz插件的问题。首先，我需要回顾用户提供的引用内容，看看有哪些关键步骤和常见问题需要注意。用户提到的引用有五个，主要涉及插件的安装路径、命令参数调整、权限问题以及依赖库的版本问题。 首先，用户需要正确安装mimikatz插件。根据引用[1]和[4]，应该把下载好的mimikatz.py文件放到Volatility2的plugins目录下。在Linux系统下，可能需要使用sudo命令来复制文件，因为权限不足会导致无法粘贴到系统目录。这一点需要注意，用户可能会遇到权限问题，这时候需要提醒他们使用sudo或者更改目录权限。 接下来是使用插件时的命令格式。引用[2]、[3]和[4]提到在运行vol.py命令时，需要指定--plugin参数，后面跟上plugins目录的路径。例如，--plugin=/path/to/plugins，这里用户需要替换成自己的实际路径。同时，命令的结构应该是vol.py --plugins=路径 -f 内存文件 --profile=配置文件 mimikatz。用户可能会在这里出错，比如路径错误或者忘记添加--plugin参数，导致找不到插件。 然后是配置文件的选择，用户需要根据内存镜像的系统类型选择合适的profile，比如Win7SP1x64。如果用户不知道正确的profile，可能需要先使用imageinfo命令来确定。不过用户的问题主要集中在mimikatz插件上，所以可能暂时不需要深入讨论profile的选择，但需要提到这一点，避免用户忽略。 另外，引用[5]提到construct库的版本问题。如果用户遇到错误，可能需要安装特定版本的construct库（2.5.5-reupload），这可能是常见的问题之一。需要提醒用户检查construct版本，必要时进行降级。 用户可能的误区包括：没有正确放置插件文件、命令中缺少--plugin参数、路径使用相对路径或绝对路径不当、权限问题导致插件无法加载，以及依赖库版本不兼容。需要一步步引导用户检查这些方面，确保每一步都正确执行。 最后，生成相关问题时，需要考虑用户可能进一步需要的信息，比如如何验证插件是否加载成功、常见错误排查、提升权限的方法，以及如何解析mimikatz的输出结果。这些问题可以帮助用户更全面地理解和应用mimikatz插件。 总结步骤：安装插件到正确目录→处理权限问题→运行命令时指定插件路径→处理可能的依赖问题→验证结果。同时，准备好回答用户可能遇到的典型错误，比如“ModuleNotFoundError”或者“No command”等，对应的解决方案。</think>### 如何在Volatility2中使用mimikatz插件 #### 步骤说明 1. **插件安装** - 下载`mimikatz.py`文件，将其复制到Volatility2的`plugins`目录下[^1][^4]。 - 若因权限问题无法复制，使用`sudo mv mimikatz.py /usr/lib/python2.7/dist-packages/volatility/plugins/`（Linux系统）[^4]。 2. **命令格式调整** - 运行命令时需通过`--plugins`参数指定插件路径。例如： ```bash vol.py --plugins=/home/kali/volatility/plugins -f /path/to/memory.vmem --profile=Win7SP1x64 mimikatz ``` 路径需替换为实际存放`plugins`的目录[^2][^3]。 3. **依赖库版本问题** - 若出现`construct`库报错，需安装指定版本： ```bash sudo pip install construct==2.5.5-reupload ``` 此操作可解决兼容性问题[^5]。 4. **执行插件** - 完整命令示例（以Kali为例）： ```bash vol.py --plugin=./ -f ~/Desktop/OtterCTF.vmem --profile=Win7SP1x64 mimikatz ``` 注意：`--plugin=./`表示当前目录为插件路径，需根据实际情况调整[^2]。 --- #### 常见问题解决 - **插件未生效**：检查`mimikatz.py`是否在正确的`plugins`目录，且命令中`--plugins`参数指向该目录。 - **权限不足**：在Linux中使用`sudo`复制文件或调整目录权限[^4]。 - **依赖报错**：确认`construct`库版本是否为`2.5.5`[^5]。 ---
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值