vol内存取证

vol

---

镜像信息volatility imageinfo -f xxx

volatility pslist --profile=类型 -f xxx pslist，可以直接列出运行的进程，如果进程已经结束，会在Exit列显示日期和时间，表明进程已经结束vol.py notepad -f 25252.raw pslist --profile=WinXPSP2x86

Hivelist，列举缓存在内存中的注册表volatility -f wuliao.data --profile=Win7SP1x64 hivelist

filescan，扫描内存中的文件volatility -f wuliao.data --profile=Win7SP1x64 filescan

filescan 也可以结合grep命令来进行筛选，比如

volatility -f wuliao.data --profile=Win7SP1x64 filescan |grep "doc\|docx\|rtf"

Dumpfiles 导出内存中缓存的文件

我直接导出上面搜索flag得到的flag.jpeg文件

volatility -f wuliao.data --profile=Win7SP1x64 dumpfiles -Q 0x000000007f142f20 -D ./ -u

Cmdscan/cmdline 提取内存中保留的cmd命令使用情况

volatility -f wuliao.data --profile=Win7SP1x64 cmdline

查看截图

volatility -f wuliao.data --profile=Win7SP1x64 screenshot --dump-dir=./

查看系统用户名

volatility -f wuliao.data --profile=Win7SP1x64 printkey -K "SAM\Domains\Account\Users\Names"

获取最后登陆系统的用户

volatility -f 1.raw --profile=Win7SP1x86 printkey -K "SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon"

获取system和SAM地址

volatility -f memory --profile=Win7SP1x64 hivelist

获取账号密码

volatility -f memory --profile=Win7SP1x64 hashdump -y 0xfffff8a000024010 -s 0xfffff8a00167a010

查看网络连接

volatility -f wuliao.data --profile=Win7SP1x64 netscan

获取浏览器浏览历史

volatility -f 1.raw --profile=Win7SP1x86 iehistory