[RoarCTF2019]forensic（内存取证）

volatility

基本思路：先看看操作系统，然后查一下进程和内存信息，把可能有问题的dump出来，然后借助linux本身的一些工具分析。

首先用      volatility -f ./mem.raw imageinfo   查看系统信息

这里重点关注 Suggest Profiles 和 data and time

然后看一下进程信息

volatility -f ./mem.raw pslist --profile=Win7SP1x86

这四个进程对应的是最可能存在问题的用户创建的进程

可以直接dump或者用userassist，如果对应进程不能导出文件,会提示none

这里暂且一放，先看一下文件情况。

volatility -f ./mem.raw --profile=Win7SP1x86 filescan |grep -E 'png|jpg|gif|zip|rar|7z|pdf|txt|doc'

这个应该是   mspaint.exe（画图）新创建的文件。把它先dump出来，看一下。

volatility -f ./mem.raw --profile=Win7SP1x86 dumpfiles -Q 0x000000001efb29f8 --dump-dir /root/111/

我导出到  /root/111/然后

但是这个不是flag，继续看下去。

这个极大可能是一个秘钥，那另一个需要的东西会是个加密的，无非现在只能是加密软件或者压缩包。

继续回去找。

既然有dumpit的内存，那应该会有他生成的文件，搜素一下。

查了一下dumpit生成的文件后缀是raw，搜索一下

volatility -f ./mem.raw --profile=Win7SP1x86 filescan |grep -E "raw"

发现桌面上有东西

还是导出文件看一下

volatility -f mem.raw --profile=Win7SP0x86 memdump -p 3524 -D ./

foremost分离一下

1YxfCQ6goYBD6Q刚才那张图