文件 notepad里的秘密(二)

0x00

文接上文,前一篇关于内存取证读取进程。
这篇总结一下,内存取证读取文件。

0x01

step1:常规操作,先读取内存类型:



step2:可以得到profile类型 WinXPSP2x86 -f 指定文件。看进程?还像上一题?不存在的!


出来很多文件,但是没有notepad进程。


step3:昨天阅读帮助,今天又读了一遍,发现我们除了进程,还可以查看文件,
命令:volatility -f 2.raw pslist --profile=WinXPSP2x86
发现文件很多,又因为提示说:在flag.txt里,所以grep flag.txt

果然有收获!


step4:下面就是读这个文件呗!问题来了,又不是在我们电脑上的文件,怎么读?看了强哥的博客,明白了!
dumpfile命令!

各个参数都研究了一遍,最后一个参数是新遇到的,地址偏移量。
百度得:文件中的地址与内存中表示不同,它是用偏移量(File offset)来表示的。在SoftICE和W32Dasm下显示的地址值是内存地址


step5 :这个文件已经保存到我的机器上,直接cat,就得到flag了!

-----更新于2018.319,将丢失的图片补全(之前不会用markdown,用HTML编辑器导致图片丢失,一直没有发现)-----