【volatality 3】使用说明文档

已于 2024-08-15 16:51:24 修改
阅读量1k 收藏 8
点赞数 5
分类专栏： 调查取证 文章标签： 内存取证 volatility python 信息安全
于 2023-11-17 09:14:47 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_30817059/article/details/134454422
版权

由于volatility2.6 和3.0 版本之间略有差异,所以特写本文档用来学习参考。

在vol3 中不需要指定profile,而是在命令中指定系统。 如windows.info、Windows.pslist

使用示例

文档说明

本文作者:SwBack
创作时间:‎2022‎年‎6‎月‎14‎日，‏‎15:47:05
知乎:https://www.zhihu.com/people/back-88-87
CSDN:https://blog.csdn.net/qq_30817059
百度搜索: SwBack

系统信息

┌──(root💀kali)-[~/tool/volatility3-1.0.0]
└─# python3 vol.py -f /root/1/mem.dump windows.info                                     
Volatility 3 Framework 1.0.0
Progress:  100.00		PDB scanning finished                     
Variable	Value

Kernel Base	0xf8017aa7d000
DTB	0x1ab000
Symbols	jar:file:/root/tool/volatility3-1.0.0/volatility3/symbols/windows.zip!windows/ntkrnlmp.pdb/A0011F02EE8442749E83E5180D8B19A6-1.json.xz
Is64Bit	True
IsPAE	False
primary	0 WindowsIntel32e
memory_layer	1 FileLayer
KdVersionBlock	0xf8017adb7ff0
Major/Minor	15.15063
MachineType	34404
KeNumberProcessors	1
SystemTime	2019-08-05 08:36:09
NtSystemRoot	C:\Windows
NtProductType	NtProductWinNt
NtMajorVersion	10
NtMinorVersion	0
PE MajorOperatingSystemVersion	10
PE MinorOperatingSystemVersion	0
PE Machine	34404
PE TimeDateStamp	Sat Jun  3 08:53:36 2017

image-20220614154705475

查看系统进程列表

python3 vol.py -f /root/1/mem.dump windows.pslist

image-20230705141314280

查看系统进程树

python3 vol.py -f /root/1/mem.dump windows.pstree

image-20230705141513138

查看系统命令行参数

获取到exe程序的运行时所带的参数(偶尔也有意外收获)

python3 vol.py -f /root/1/mem.dump windows.cmdline

image-20220614155925919

独特的思考方式

众所周知,Downloads目录是下载目录,该目录下的文件均不是系统自带，而这里存在lass.exe的 程序,所以根据题目来判断，这个程序很有可能是恶意程序. 然后可以导出程序进行逆向分析。

image-20220614160236755

列出已加载的dll模块

python3 vol.py -f 1/mem.dump windows.dlllist

查看系统中存在的文件

一般通过grep 来进行筛选,根据进程中的程序及题目要求来筛选，grep “png|jpg|gif|jpeg|zip|rar|7z|txt|Downloads|Desktop”

python3 vol.py -f ../1/mem.dump  windows.filescan |grep lass.exe

image-20220615085239448d

独特的思考方式

有些题目答案自己无法找到,比如找不到用户的创建时间,在注册表中无法找到,那么可以尝试搜索 Security.evtx文件 找到系统的安全日志,然后下载下来进行读取。其中包含用户的创建、删除、登录等包含用户操作的所有信息

如下图示例

┌──(root??kali)-[~/volatility]
└─# python3 vol.py -f ../1/mem.dump  windows.filescan |grep "evtx"

image-20220615090250773

下载系统中的文件

这个插件和2.6中的差异较大, 在3.0的版本中,已经找不到 memdump procdump等插件了

只有一个dumpfiles 我们可以通过-h 来查看下参数 在3.0的版本中一定要指定物理地址进行下载

可以发现，不仅可以通过虚拟地址还可以通过PID、物理地址进行下载文件. 也不再通过-D 指定保存的路径

image-20220615090841241

#我这边下载的是Security.evtx文件 | 默认保存在当前目录
python3 ../volatility/vol.py -f Windows7.mem windows.dumpfiles --physaddr="0x23e2dcf20"

image-20220621141445454

#我们只需要evtx.dat 文件 vacb是缓存对我们没有帮助.
将evtx.dat 重命名删除.dat后缀后 ,放到与镜像同版本的系统中(window7\window10)因为兼容问题,简单测试 win7日志无法在win10打开
然后根据Window 日志系统的事件ID来筛选出我们想要获取的信息即可。

image-20220621141831196

查看进程环境变量

 python3 ../volatility/vol.py -f mem.dump  windows.envars

image-20220615104355597

独特的思考方式

环境变量中基本上都有系统的名称 及当前使用的用户 等信息。如果题目要求提交电脑名称,注册表地址不记得那么可以到此处找一找。

查看注册表[重点]

与注册表相关的信息均为重点,这里将会稍微详细一点，所以将其设为一级目录

#这和2.6版本 差不多,不同的是后面的参数
python3 ../volatility/vol.py -f mem.dump  windows.registry.hivelist
# 还有一个参数是hivescan 不过它只列出虚拟地址,这里我们在做题的时候基本用不到,就省略不讲了.有兴趣可以自己尝试

image-20220615104933448

打印注册表地址

注册表的地址我们一般不会完全记住,通常都是记部分。那么列取指定路径的注册表就很有必要

这里差异比较大,2.6 是通过-K 参数来指定路径。

#2.6 打印路径
volatility -f mem.dump --profile=Win7SP1x64 printkey -K "SAM"
#3.0 打印路径 为了方便对比,这里我将实际的路径进行了删除
 python3 vol.py -f windows.mem windows.registry.printkey --key "SYSTEM"

image-20220615144131590

#或者通过虚拟地址直接指定需要列取的注册表 然后通过key打印子项
python3 vol.py -f Windows7.mem windows.registry.printkey --offset="0xf8a000a85420" --key "SAM\Domains"

image-20220615144644432

下方示例为打印该内存中存在多少用户

image-20220615144734304

下载注册表到本地

之前通过windows.registry.hivelist 命令查看了注册表,有时候通过注册表无法直观的获取到我们想要得到的信息。那么我们只能将其下载到本地,然后借助第三方工具进行分析.

#下载所有注册表到本地
python3 ../volatility/vol.py -f Windows7.mem windows.registry.hivelist --dump

image-20220615145216344

注意事项

1.导出的注册表在本地查看发现是乱码,因为经过了rot13加密
2.日志文件无法导出(无关版本问题,正在测试镜像是否存在问题)
3.遇到window10的内存镜像，采用vol3.0版本,3.0版本对windows10 非常友好.2.6有可能无法识别profile。
4.Windows系统之间很有可能出现不兼容的情况,从window7 导出的日志,在window11下会出现报错,但是在window10下会成功解析。

获取用户名密码密文

python3 /root/tools/volatility3/vol.py -f OtterCTF.vmem windows.lsadump

image-20220627140540331

命令汉化翻译(仅供参考,不全)

常用插件：
    layerwriter：列出内存镜像platform信息
    linux.bash：从内存中恢复bash命令历史记录
    linux.check_afinfo：验证网络协议的操作功能指针
    linux.check_syscall：检查系统调用表中的挂钩
    linux.elfs：列出所有进程的所有内存映射ELF文件
    linux.lsmod：列出加载的内核模块
    linux.lsof：列出所有进程的所有内存映射
    linux.malfind：列出可能包含注入代码的进程内存范围
    linux.proc：列出所有进程的所有内存映射
    linux.pslist：列出linux内存映像中存在的进程
    linux.pstree：列出进程树
    mac.bash：从内存中恢复bash命令历史记录
    mac.check_syscall：检查系统调用表中的挂钩
    mac.check_sysctl：检查sysctl处理程序的挂钩
    mac.check_trap_table：检查trap表中的挂钩
    mac.ifconfig：列出网卡信息
    mac.lsmod：列出加载的内核模块
    mac.lsof：列出所有进程的所有内存映射
    mac.malfind：列出可能包含注入代码的进程内存范围
    mac.netstat：列出所有进程的所有网络连接
    mac.psaux：恢复程序命令行参数
    mac.pslist：列出linux内存映像中存在的进程
    mac.pstree：列出进程树
    mac.tasks：列出Mac内存映像中存在的进程
    windows.info：显示正在分析的内存样本的OS和内核详细信息
    windows.callbacks：列出内核回调和通知例程
    windows.cmdline：列出进程命令行参数
    windows.dlldump：将进程内存范围DLL转储
    windows.dlllist：列出Windows内存映像中已加载的dll模块
    windows.driverirp：在Windows内存映像中列出驱动程序的IRP
    windows.driverscan：扫描Windows内存映像中存在的驱动程序
    windows.dumpfiles.DumpFiles 下载Windows中的文件
    windows.filescan：扫描Windows内存映像中存在的文件对象
    windows.handles：列出进程打开的句柄
    windows.malfind：列出可能包含注入代码的进程内存范围
    windows.moddump：转储内核模块
    windows.modscan：扫描Windows内存映像中存在的模块
    windows.mutantscan：扫描Windows内存映像中存在的互斥锁
    windows.pslist：列出Windows内存映像中存在的进程
    windows.psscan：扫描Windows内存映像中存在的进程
    windows.pstree：列出进程树
    windows.procdump：转储处理可执行映像
    windows.registry.certificates：列出注册表中存储的证书
    windows.registry.hivelist：列出内存映像中存在的注册表配置单元
    windows.registry.hivescan：扫描Windows内存映像中存在的注册表配置单元
    windows.registry.printkey：在配置单元或特定键值下列出注册表项
    windows.registry.userassist：打印用户助手注册表项和信息
    windows.ssdt：列出系统调用表
    windows.strings：读取字符串命令的输出，并指示每个字符串属于哪个进程
    windows.svcscan：扫描Windows服务
    windows.symlinkscan：扫描Windows内存映像中存在的链接
SwBack
关注
专栏目录
volatility3:波动率3.0的发展
04-08
易失性3：易失性内存提取框架 易失性是世界上使用最广泛的框架，用于从易失性存储器（RAM）样本中提取数字伪像。 提取技术的执行完全独立于要研究的系统，但提供了系统运行时状态的可见性。 该框架旨在向人们介绍与从易失性存储器样本中提取数字伪像相关的技术和复杂性，并为进一步开展这一激动人心的研究领域提供了平台。 在2019年，Volatility Foundation发布了对框架Volatility 3的完全重写。该项目旨在解决与原始代码库相关的许多技术和性能挑战，这些挑战在过去10年中变得显而易见。 重写的另一个好处是，可以根据更符合Volatility社区目标的自定义许可证（即Volatility软件许可证（VSL））发布Volatility 3。 有关更多详细信息，请参见文件。 要求 Python 3.5.3或更高版本。 Pefile 2017.8.1或更高版本。 可选依赖项 yar
volatility_plugins:波动性插件
06-09
波动率插件 波动性插件 我编写或做出重大贡献的框架插件集合。 PlugX 配置提取是插件的分支和更新，位于 支持更多配置大小并移至 ctypes 结构以解析配置 blob。 Andromeda 配置提取插件将尝试定位和提取 C2 URL、用于初始通信的 RC4 密钥以及 phone-home 格式字符串中的参数 安装 仙女座插件需要安装 PyCrypto 和 python 模块。 建议手动安装 yara 以获得最新版本，Yara 站点上提供了说明。 在基于 Debian 的系统上，这些模块可以通过 $ apt-get install python-crypto python-yara PyCrypto 也可以通过 pip 安装 $ sudo pip install pycrypto 仙女座插件还需要安装 。 在 *nix（包括 Mac OS X、Linux、BSD 等）上，执
volatility安装和出现的问题及解决方法
clotten的博客
12-10 2818
volatility安装和出现的问题及解决方法
Volatility3用法
江左盟的博客
05-24 1万+
简介 Volatility3是对Volatility2的重写，它基于Python3编写，对Windows 10的内存取证很友好，且速度比Volatility2快很多。对于用户而言，新功能的重点包括：大幅提升性能，消除了对--profile的依赖，以便框架确定需要哪个符号表（配置文件）来匹配内存示例中的操作系统版本，在64位系统（例如Window的wow64）上正确评估32位代码，自动评估内存中的代码，以避免对分析人员进行尽可能多的手动逆向工程。对于开发人员：更加轻松地集成到用户的第三方接口和库中，广泛的A
Volatility3内存取证工具使用详解
热门推荐
Aluxian_的博客
09-28 1万+
Volatility是一款开源的内存取证分析工具，是一款开源内存取证框架，能够对导出的内存镜像进行分析，通过获取内核数据结构，使用插件获取内存的详细情况以及系统的运行状态。支持Windows，Linux，MaC，Android等多类型操作系统系统的内存取证方式。该工具是由python开发的，目前支持python2、python3环境；这里就介绍volatility3的使用。因为这个是windows的镜像 所以都是windows命令 大家可以使用Linux插件进行尝试个人的感觉 还是觉得！
小白学习，在kali里面用volatility3，一步一步细致操作，解决问题。建议电子取证选手好好看看。
ntrybw的博客
11-08 3062
要是偷懒的话，我就在这里放上v3这个东西的链接吧，哈哈哈，感觉v3也不好找。kali直接去官网下载，还是很好找的。链接：https://pan.baidu.com/s/1IXUBJhdsWBD6Ji1BTwZSoA?然后就顺利安装，打开，把v3拖进去，就变成这样子，对了，可以把镜像也拖进去。cd / . ./ /volatility3 进入文件夹。创建虚拟机的步骤我就跳过，推荐官网下载。有问题直接私信我，我一般会尽快回的。
Volatility3安装
ShenZ的博客
10-19 3675
Volatility3安装 工具地址：https://github.com/volatilityfoundation/volatility3 安装 git clone https://github.com/volatilityfoundation/volatility3.git python3 vol.py -h 系统缺少pycrypto,distorm这两个辅助包而无法加载相应插件 安装辅助包 下载pycrypto： https://pypi.org/project/pycrypto/#files 下
Volatility3内存取证工具安装及入门在Linux下的安装教程
Geek极安云科-致力于网络安全事业
12-11 4358
Volatility 是一个完全开源的工具，用于从内存 (RAM) 样本中提取数字工件。支持Windows，Linux，MaC，Android等多类型操作系统系统的内存取证。针对竞赛这块（CTF、技能大赛等）基本上都是用在Misc方向的取证题上面，很多没有听说过或者不会用这款工具的同学在打比赛的时候就很难受。以前很多赛项都是使用vol2.6都可以完成，但是由于操作系统更新，部分系统2.6已经不支持了，如：Win10 等镜像，而Volatility3是支持这些新版本操作系统的。
volatility3取证windows相关命令
Tokeii想躺平
09-25 2092
windows.info：显示正在分析的内存样本的OS和内核详细信息 windows.callbacks：列出内核回调和通知例程 windows.cmdline：列出进程命令行参数 windows.dlldump：将进程内存范围DLL转储 windows.dlllist：列出Windows内存映像中已加载的dll模块 windows.driverirp：在Windows内存映像中列出驱动程序的IRP windows.driverscan：扫描Windows内存映像中存在的驱动程序 windows.files
流量分析和内存取证
weixin_53139887的博客
01-10 839
流量分析 先出示一个例题，这是长安防疫站的一道misc题 先过滤http流量，手动分析所有返回http200的请求（http200是服务器已成功处理了请求。通常，这表示服务器提供了请求的网页。）可以得到两个可疑的文件 追踪他们两个的tcp流， 然后对第一个进行base32解码 在对第二个进行base64解码，观察可知是zip压缩包，解压得到文件夹 chips包含和hint一一对应的图片一堆， 接下来一步就是如何将图像拼接成正常的包含flag的样子 这是流量分析比较基础...
Volatility3 windows插件详解
u011250160的博客
09-26 4339
发现三个系统加起来太tm多了 先搞windows 剩下的有缘再见 banners.Banners 识别linux镜像的banner信息 不识别windows的镜像 isfinfo.IsfInfo 确定当前可用的ISF文件 具体什么是ISF文件，我也没查到 如下 layerwriter.LayerWriter Runs the automagics and writes out the primary layer produced by the stacker. 运行 automagics 并写出堆栈器产
volatility_plugins:一些波动性插件
05-05
CAVEAT：这些仅适用于并且仅在64位Linux系统上进行了测试。 必须为32位系统定义一个不同的VType。 下面的用法说明假定波动性已经与依赖项一起安装。 仅支持最新版本（不支持发布的版本2.4或2.4.1，而是实际的最新母版）。 linux_python_strings 最初，此插件从运行的python进程的内存中提取python字符串。 vol.py \ --plugins=profiles:<other>:<path>/plugins \ --profile=<profile> \ -f <path> \ linux_python_strings -p <PID> --dump-dir . 这将打印出PI
volatility内存取证命令合集
01-10
volatility内存取证命令合集，原版volatility内存取证CheatSheet，赶紧学习一波！
volatility-plugins, 我为波动而编写的插件.zip
09-17
volatility-plugins, 我为波动而编写的插件 用户定义的波动插件我所做的插件：uninstallinfo.py - 从内存转储 HKLMSOFTWAREMicrosoftWindowsCurrentVersionUninstallprefetch.py - 扫描预取文件的内存和转
volatility3-develop-内存镜像分析工具
最新发布
06-30
Volatility是一款开源内存取证框架，能够对导出的内存镜像进行分析，通过获取内核数据结构，使用插件获取内存的详细情况以及系统的运行状态。 Volatility是一款非常强大的内存取证工具,它是由来自全世界的数百位知名安全专家合作开发的一套工具, 可以用于windows,linux,mac osx,android等系统内存取证。Volatility是一款开源内存取证框架，能够对导出的内存镜像进行分析，通过获取内核数据结构，使用插件获取内存的详细情况以及系统的运行状态。
探索 Volatility3: 先进的内存取证框架
gitblog_00025的博客
03-23 518
探索 Volatility3: 先进的内存取证框架 项目地址:https://gitcode.com/volatilityfoundation/volatility3 Volatility3 是一个开源项目，专注于为数字调查和安全分析师提供强大的内存取证工具。通过深入分析系统的RAM数据，Volatility3 可以揭示操作系统、进程活动、网络连接以及其他敏感信息，这些在常规文件系统中可能难以找到...
windows下volatility3-2.7.0内存取证工具安装及遇到的问题解决方法
weixin_44697846的博客
06-02 1869
windows下volatility3-2.7.0内存取证工具安装及问题解决方法
内存取证-volatility工具的使用 （史上更全教程，更全命令）_volatility内存取证(3)
2401_85013565的博客
05-15 1440
shift=SHIFT Mac KASLR 移位地址–output=text 以这种格式输出（支持特定于模块，请参阅下面的模块输出选项）在此文件中写入输出-v, --verbose 详细信息-g KDBG, --kdbg=KDBG 指定一个 KDBG 虚拟地址（注意：对于 64 位 Windows 8 及更高版本，这是 KdCopyDataBlock 的地址）–force 强制使用可疑配置文件。
内存取证volatility工具命令详解
Y525698136的博客
01-04 2603
内存取证volatility工具命令详解
volatility 下载
01-13
Volatility 是一款用于数字取证和线下广告分析的开源框架。它被广泛用于分析恶意软件和黑客活动，以获取有关计算机系统和网络的信息。Volatility 可以分析内存转储文件，以便恢复已删除的信息、查找潜在的入侵痕迹，并确定系统中运行的进程和服务。这个工具对于研究人员和调查人员来说非常有用，可以帮助他们理解和解决各种安全威胁。 要下载 Volatility，可以访问其官方网站或在 GitHub 上找到正确的下载链接。根据自己的操作系统和需求，选择适当的版本进行下载。一旦下载完成，解压缩文件并按照提供的文档和说明进行安装和配置。 Volatility 需要一些额外的工具和库来正常运行，如 Python 和相关的依赖项。确保系统中已安装这些必要的组件，以免出现任何运行时错误。当所有配置都完成后，即可开始使用 Volatility 进行内存分析。 通过命令行或脚本，使用 Volatility 启动内存分析。通过指定正确的参数和选项，可以运行各种分析插件和脚本，以获取所需的结果。这些结果可以是进程列表、网络连接、注册表项、文件列表等。分析结果可以导出为文本、CSV 或 HTML 格式，以供进一步的处理和研究。 总之，Volatility 是一个功能强大且广泛使用的数字取证和广告分析工具。下载并正确安装它后，你可以使用其内置的分析插件来研究计算机系统的内存转储，并得出有关系统状态和安全威胁的有价值信息。它对于提高数字安全和解决安全问题的能力非常有帮助。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

SwBack

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值