CTF 使用 Volatility 2 安装 | 内存取证分析.vmem文件 | Volatility 2 适配 python 3

最新推荐文章于 2024-05-11 20:56:52 发布
最新推荐文章于 2024-05-11 20:56:52 发布
阅读量2k 收藏 4
点赞数
分类专栏： CTF 文章标签： 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_41608408/article/details/130255953
版权

1. 背景

在做CTF的时候会碰到 .vmem 文件需要进行分析。vmem文件是虚拟机的分页文件，它备份宿主机文件系统上的guest主内存。此文件仅在虚拟机运行时存在，或者虚拟机崩溃时存在 [1]。这时候就需要 Volatility 文件进行分析。

2. Volatility 安装

Volatility 有 version 2 和 version 3

注意 Volatility 2 只支持 python 2 的环境，而 Volatility 3 支持 python 3.6 以上的环境。
这里给出2 和 3 的官方 git

Volatility 2 + python 2: https://github.com/volatilityfoundation/volatility

Volatility 3 + python 3 : https://github.com/volatilityfoundation/volatility3

然而网上能找到的教程大多数是 Volatility 2 的，但我的电脑又是python 3，怎么办。
办法肯定是有的。我网上冲浪了一会儿，找到了 Volatility 2 适配 python 3 的版本。

Volatility 2 + python 3 : https://github.com/koromodako/volatility

但是在安装依赖的时候会有些麻烦。 pip install -r requirements.txt 在安装 distorm3 的时候需要 Microsoft C++ Build Tools。只好下了个 VS 的 C++ 14。
然后再安装依赖就好了

3. Volatility 2 使用

3.1 Imageinfo

分析就是查看设备信息 [2]：

python vol.py -f file.vmem imageinfo

这一步可以看出推荐的profile:

Volatility Foundation Volatility Framework 2.6
INFO    : volatility.debug    : Determining profile based on KDBG search...
          Suggested Profile(s) : WinXPSP2x86, WinXPSP3x86 (Instantiated with WinXPSP2x86)
                     AS Layer1 : IA32PagedMemoryPae (Kernel AS)
                     AS Layer2 : FileAddressSpace (/home/panardin/Challs/cridex.vmem)
                      PAE type : PAE
                           DTB : 0x2fe000L
                          KDBG : 0x80545ae0L
          Number of Processors : 1
     Image Type (Service Pack) : 3
                KPCR for CPU 0 : 0xffdff000L
             KUSER_SHARED_DATA : 0xffdf0000L
           Image date and time : 2012-07-22 02:45:08 UTC+0000
     Image local date and time : 2012-07-21 22:45:08 -0400

3.2 kdgbscan

题目有时候会问到 KDBG 的虚拟地址是什么
这时用：

python vol.py -f file.vmem kdbgscan

offset 的值就是KDBG的虚拟地址

3.3 pslist & pstree

这两个命令是用来查看进程的，需要加上之前分析的profile

python vol.py -f file.vmem --profile=WinXPSP2x86 pslist


Volatility Foundation Volatility Framework 2.6
Offset(V)  Name                    PID   PPID   Thds     Hnds   Sess                    
---------- -------------------- ------ ------ ------ -------- ------ 
0x823c89c8 System                    4      0     53      240 ------                                                              
0x822f1020 smss.exe                368      4      3       19 ------                                     
0x822a0598 csrss.exe               584    368      9      326      0                                    
0x82298700 winlogon.exe            608    368     23      519      0                                 
0x81e2ab28 services.exe            652    608     16      243      0                                     
0x81e2a3b8 lsass.exe               664    608     24      330      0                                    
0x82311360 svchost.exe             824    652     20      194      0                                    
0x81e29ab8 svchost.exe             908    652      9      226      0                                    
0x823001d0 svchost.exe            1004    652     64     1118      0                                    
0x821dfda0 svchost.exe            1056    652      5       60      0                                    
0x82295650 svchost.exe            1220    652     15      197      0                                   
0x821dea70 explorer.exe           1484   1464     17      415      0                                    
0x81eb17b8 spoolsv.exe            1512    652     14      113      0                                    
0x81e7bda0 reader_sl.exe          1640   1484      5       39      0                     
0x820e8da0 alg.exe                 788    652      7      104      0                                 
0x821fcda0 wuauclt.exe            1136   1004      8      173      0                                     
0x8205bda0 wuauclt.exe            1588   1004      5      132      0

pstree 会显示进程的所属关系。

python vol.py -f file.vmem --profile=WinXPSP2x86 pstree


Volatility Foundation Volatility Framework 2.6
Name                                                  Pid   PPid 
-------------------------------------------------- ------ ------ 
 0x823c89c8:System                                      4      0     
. 0x822f1020:smss.exe                                 368      4      
.. 0x82298700:winlogon.exe                            608    368     
... 0x81e2ab28:services.exe                           652    608     
.... 0x821dfda0:svchost.exe                          1056    652      
.... 0x81eb17b8:spoolsv.exe                          1512    652     
.... 0x81e29ab8:svchost.exe                           908    652      
.... 0x823001d0:svchost.exe                          1004    652     
..... 0x8205bda0:wuauclt.exe                         1588   1004      
..... 0x821fcda0:wuauclt.exe                         1136   1004      
.... 0x82311360:svchost.exe                           824    652     
.... 0x820e8da0:alg.exe                               788    652      
.... 0x82295650:svchost.exe                          1220    652     
... 0x81e2a3b8:lsass.exe                              664    608     
.. 0x822a0598:csrss.exe                               584    368      
 0x821dea70:explorer.exe                             1484   1464     
. 0x81e7bda0:reader_sl.exe                           1640   1484

3.4 psxview

非常有用，可以查看隐藏的进程，通常是有问题的。
识别方法，某一个进程的 pslist 和 psscan 列都是 False 。

python vol.py -f file.vmem --profile=WinXPSP2x86 psxview


Volatility Foundation Volatility Framework 2.6
Offset(P)  Name                    PID pslist psscan thrdproc pspcid csrss session deskthrd ExitTime
---------- -------------------- ------ ------ ------ -------- ------ 
0x02498700 winlogon.exe            608 True   True   True     True..
0x02511360 svchost.exe             824 True   True   True     True..
0x022e8da0 alg.exe                 788 True   True   True     True..
0x020b17b8 spoolsv.exe            1512 True   True   True     True..
0x0202ab28 services.exe            652 True   True   True     True..
0x02495650 svchost.exe            1220 True   True   True     True..
0x0207bda0 reader_sl.exe          1640 True   True   True     True..
0x025001d0 svchost.exe            1004 True   True   True     True..
0x02029ab8 svchost.exe             908 True   True   True     True..
0x023fcda0 wuauclt.exe            1136 True   True   True     True..
0x0225bda0 wuauclt.exe            1588 True   True   True     True..
0x0202a3b8 lsass.exe               664 True   True   True     True..
0x023dea70 explorer.exe           1484 True   True   True     True..
0x023dfda0 svchost.exe            1056 True   True   True     True..
0x024f1020 smss.exe                368 True   True   True     True..
0x025c89c8 System                    4 True   True   True     True..
0x024a0598 csrss.exe               584 True   True   True     True..

3.5 cmdline

查看命令行输了啥。

python vol.py -f file.vmem --profile=WinXPSP2x86 cmdline


Volatility Foundation Volatility Framework 2.6
********************************************************************
System pid:      4
********************************************************************
smss.exe pid:    368
Command line : \SystemRoot\System32\smss.exe
********************************************************************
csrss.exe pid:    584
Command line : C:\WINDOWS\system32\csrss.exe ObjectDirectory=\Windows SharedSection=1024,3072,512 Windows=On SubSystemType=Windows ServerDll=basesrv,1 ServerDll=winsrv:UserServerDllInitialization,3 ServerDll=winsrv:ConServerDllInitialization,2 ProfileControl=Off MaxRequestThreads=16
********************************************************************
winlogon.exe pid:    608
Command line : winlogon.exe
********************************************************************
services.exe pid:    652
Command line : C:\WINDOWS\system32\services.exe
********************************************************************
lsass.exe pid:    664
Command line : C:\WINDOWS\system32\lsass.exe
********************************************************************
svchost.exe pid:    824
Command line : C:\WINDOWS\system32\svchost -k DcomLaunch
********************************************************************
svchost.exe pid:    908
Command line : C:\WINDOWS\system32\svchost -k rpcss
********************************************************************
svchost.exe pid:   1004
Command line : C:\WINDOWS\System32\svchost.exe -k netsvcs
********************************************************************
svchost.exe pid:   1056
Command line : C:\WINDOWS\system32\svchost.exe -k NetworkService
********************************************************************
svchost.exe pid:   1220
Command line : C:\WINDOWS\system32\svchost.exe -k LocalService
********************************************************************
explorer.exe pid:   1484
Command line : C:\WINDOWS\Explorer.EXE
********************************************************************
spoolsv.exe pid:   1512
Command line : C:\WINDOWS\system32\spoolsv.exe
********************************************************************
reader_sl.exe pid:   1640
Command line : "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe" 
********************************************************************
alg.exe pid:    788
Command line : C:\WINDOWS\System32\alg.exe
********************************************************************
wuauclt.exe pid:   1136
Command line : "C:\WINDOWS\system32\wuauclt.exe" /RunStoreAsComServer Local\[3ec]SUSDSb81eb56fa3105543beb3109274ef8ec1
********************************************************************
wuauclt.exe pid:   1588
Command line : "C:\WINDOWS\system32\wuauclt.exe"

还有两个相似的插件 cmdscan 和 consoles 就不展开了。

3.6 prodump & memdump

如果你发现某个进程很可疑，需要进一步分析。只需要找到它的PID值，比如在这个例子中就是 Reader_sl.exe 这个进程，PID是1640。

python vol.py -f file.vmem --profile=WinXPSP2x86 procdump -p 1640 --dump-dir .

Volatility Foundation Volatility Framework 2.6
Process(V) ImageBase  Name                 Result
---------- ---------- -------------------- ------
0x81e7bda0 0x00400000 reader_sl.exe        OK: executable.1640.exe


python vol.py -f file.vmem --profile=WinXPSP2x86 memdump -p 1640 --dump-dir .


Volatility Foundation Volatility Framework 2.6
************************************************************************
Writing reader_sl.exe [  1640] to 1640.dmp

4. Cheatsheet 整理

  1. https://downloads.volatilityfoundation.org/releases/2.4/CheatSheet_v2.4.pdf
  2. https://blog.onfvp.com/post/volatility-cheatsheet/
  3. https://andreafortuna.org/2017/07/17/volatility-my-own-cheatsheet-part-4-kernel-memory-and-objects/
  4. https://cookiess.medium.com/volatility-cheatsheet-6e08deb85afb

Reference

[1] https://communities.vmware.com/t5/VMware-Workstation-Pro/vmem-files-thrashing-my-HDD/td-p/1361985
[2] https://medium.com/@zemelusa/first-steps-to-volatile-memory-analysis-dcbd4d2d56a1

学习溢出
关注
  • 0
    点赞
  • 踩
  • 4
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
虚拟机vmem文件_什么是VMEM（虚拟内存）文件以及如何使用？
cunjiu9486的博客
10-06 1万+
虚拟机vmem文件Virtual Memory or VMEM is a file extension used by virtualization software like VMware, Virtualbox etc. VMEM files generally store RAM or Physical Memory of the related virtual machine. 虚拟内存或...
volatility内存取证软件，可用于windows环境下
09-20
不愿意使用kali的可以使用这个版本 The Volatility Framework is a completely open collection of tools, implemented in Python under the GNU General Public License, for the extraction of digital artifacts ...
Volatility2安装使用以及CTF比赛题目（复现）
Aluxian_的博客
12-05 5663
Volatility是一款开源内存取证框架，能够对导出的内存镜像进行分析，通过获取内核数据结构，使用插件获取内存的详细情况以及系统的运行状态。题目链接：链接: https://pan.baidu.com/s/1s9Ey8G12COT_vI65TwhIKw?pwd=shkd 提取码: shkd Volatility2.6需要python2，pip安装模块也需要2版本，具体命令根据实际情况调整。本次是比赛题目的复现参考大佬链接自己在做了一遍：https://bnessy.blog.csdn.net/articl
2024年网络安全最全Volatility2安装使用以及CTF比赛题目（复现）(2)，网络安全程序员如何通过跳槽薪资翻倍
最新发布
2401_84297899的博客
05-11 780
sessions - 列出 _MM_SESSION_SPACE 的详细信息（用户登录会话）linux_pslist - 通过遍历 task_struct->task 列表来收集活动任务。linux_ldrmodules - 将 proc 映射的输出与 libdl 中的库列表进行比较。mac_ldrmodules - 将 proc 映射的输出与 libdl 中的库列表进行比较。
volatility2各类外部插件使用简介
BlusKing
12-10 5205
插件使用方式： 1.把插件文件放入volatility的plugins中 2.使用--plugins参数指定插件目录 官方-社区插件项目 https://github.com/volatilityfoundation/community 注意： 1.如果使用出错，可以打开插件文件或者单独运行，可能是有些库没有安装 2.官方虽然提供了一个社区插件的整合仓库，却没有给出详细说明。文件夹名称是插件制作者的姓名，文件夹内才是插件真正的名称。下面挑一部分进行说明。 mimaka...
vmware 文件最新分析 scoreboard vmmcores.gz temp
qq_41095608的博客
07-28 5525
虚拟机在运行时会创建相应的文件，即在虚拟机的安装目录下自动产生.lck锁定文件文件，这是虚拟机的虚拟磁盘(.vmdk)自带的磁盘保护机制，防止多台虚拟机同时访问同一个虚拟磁盘造成对磁盘修改、数据丢失以及性能的削减。该文件为虚拟机的配置文件，包含虚拟机所有虚拟硬件的信息和设置，如电源、网络、内存等或虚拟机编辑器对虚拟机进行的所有配置。这个文件的数量往往根据你生成的快照有关,n个快照=n个veme文件如果有多出的文件将所有文件按照修改时间排序,就可找出可以删除的那一个。虚拟机文件的交换页面。..........
工具：VMware虚拟机各种后缀文件总结
du_lijun的博客
03-29 6234
一、文件介绍 .log 日志文件。这个文件记录了VMwareWorkstation对虚拟机调节运行的情况，记录虚拟机操作，可用了故障诊断。 .vmdk 这是一个虚拟磁盘文件，它储存了虚拟机硬盘驱动器里的内容。 一台虚拟机可以由一个或几个虚拟磁盘文件组成。如果你已经特别指定了虚拟磁盘每2GB为一单独文件的话，虚拟磁盘的大小就决定了虚拟磁盘文件的数量。随着数据写入虚拟磁盘，虚拟磁盘文件将变大，直到这些文件为2GB。（如果你在创建虚拟磁盘时已经把所有的空间都分配了，那么这些文件将在初始时就具...
volatility_2.6_win64system_standalone.rar
10-08
1. volatility_2.6_win64_standalone.exe：这是Volatility 2.6的Windows 64位独立运行版本，用户可以直接运行进行内存分析，无需安装。 2. README.txt：通常，这个文件包含了关于如何使用工具的基本指南，包括安装、...
volatility_2.6_mac64_standalone.zip
05-16
Volatility 2.6是该框架的一个重要版本，它提供了丰富的插件和工具，能够对多种操作系统，包括Windows、Linux和macOS进行内存分析。Mac64版本特别针对苹果的64位架构进行了优化，确保在macOS平台上高效、稳定地运行...
CTF-陇剑杯之内存分析-虚拟机内存取证1
08-03
2. **安装Volatility本体**：可以从GitHub官方仓库获取Volatility的源码，根据系统选择对应的版本（Python2或Python3）。也可以选择下载预编译的执行文件。 3. **安装方式**：如果选择源码，可以运行`python setup....
CTF内存取证三项.7z
11-16
CTF取证分析赛题，对学习有很大帮助。
volatility2安装的各种报错问题处理
12-19 430
而kali又不会自带pip(就算自带好像也是python3以上的版本)所以这里需要安装python2版本的pip。会出现以上的错误error: invalid command ‘egg_info’，可执行以下代码。这是由我安装volatility时发现缺少各种库，各种报错引发的文章希望对你有帮助。（pip2是方便区分python2和python3版本的pip）查看版本号，看是不是已经是2.x版本。然后会报以上问题，我们执行下面的代码。这样volatility就能用了。然后再是总结会出现的问题。
虚拟机快照如何强行删除，虚拟机如何正常启动, 虚拟机.vmem文件的删除
u010879745的博客
01-29 3668
今天在运行虚拟机程序时出错， @collect2: fatal error: ld terminated with signal 9 [Killed] 百度后发现是说swap空间不够所致， 于是想扩大虚拟机磁盘，却发现因有快照无法扩展，而快照无法删除，强行在windows下强行删除，删除后虚拟机无法启动。 百度后发现一种办法可以解决，清空下面文件内容， 打开文件后，清空，再打开虚拟机，OK 文...
Volatility3用法
江左盟的博客
05-24 1万+
简介 Volatility3是对Volatility2的重写，它基于Python3编写，对Windows 10的内存取证很友好，且速度比Volatility2快很多。对于用户而言，新功能的重点包括：大幅提升性能，消除了对--profile的依赖，以便框架确定需要哪个符号表（配置文件）来匹配内存示例中的操作系统版本，在64位系统（例如Window的wow64）上正确评估32位代码，自动评估内存中的代码，以避免对分析人员进行尽可能多的手动逆向工程。对于开发人员：更加轻松地集成到用户的第三方接口和库中，广泛的A
关于VMWare中的vmem文件
热门推荐
10-09 4万+
1.vmem文件的作用两种说法：一种认为是虚拟机的内存分页文件还有认为是进行快照snapshot时需要的文件 2.关于“禁用”vmem文件对所有的虚拟机“禁用”vmem文件修改C:/Documents and Settings/All Users/Application Data/VMware/VMware Workstation/settings.ini文件，（如果没有这
Volatility3内存取证工具使用详解
Aluxian_的博客
09-28 1万+
Volatility是一款开源的内存取证分析工具，是一款开源内存取证框架，能够对导出的内存镜像进行分析，通过获取内核数据结构，使用插件获取内存的详细情况以及系统的运行状态。支持Windows，Linux，MaC，Android等多类型操作系统系统的内存取证方式。该工具是由python开发的，目前支持python2、python3环境；这里就介绍volatility3的使用。因为这个是windows的镜像 所以都是windows命令 大家可以使用Linux插件进行尝试个人的感觉 还是觉得！
CTF刷题笔记 - misc方向 - 电子取证/内存分析
m0_62652276的博客
12-31 2505
DPAPI技术是Windows提供的一种数据保护API，它本质上使用了Windows通过用户自己登录（sids，登录密码等），以及域登录后的一些数据生成的密钥，并且使用内置的算法，对用户指定的数据进行加密。对采用DPAPI技术加密的数据进行解密，需要获取当前操作系统登录用户对应的 Master Key，而获取 MasterKey 需要知道用户名、密码以及对应的SID，然后利用这些数据生成一个 blob 加密过程中使用的 MasterKey，从而对目标blob进行解密。
OtterCTF 内存取证
weixin_51804748的博客
05-15 2794
最近小小的学习了一下内存取证，装环境搞了整整一天，非常麻烦，在阅读相关资料时偶然看到了一篇WriteUp，是关于OtterCTF2018的十三道内存取证题目，用的全部是同一个镜像，考察的知识点非常全面，可以用来熟悉一下volatility的使用，关键是比赛平台居然还开着，正好当作内存取证的一次入门学习 OtterCTF 1 - What the password? ┌──(root㉿kali2022)-[~] └─# vol.py -f /root/桌面/OtterCTF.vmem imageinfo
内存取证neicun.vmem （上一期整理了工具的用法，那么这一期我们来一把实战！）
qq_56025677的博客
02-25 619
打开第一个文件 .png的文件头89504E47 第二个文件打开发现没有明确是什么文件翻到文件结尾部分发现好像是png文件的尾部，所有猜测这两个可能是一张图片的内容 合并后果然得到了flag。可以把进程导出来，注册的服务器一般是需要开启的，开启的关键字是start，直接收缩start就能出来。5、从内存文件中获取黑客进入系统后下载的flag文件，将文件中的值作为Flag值提交。3、当前系统中存在的挖矿进程，请获取指向的矿池地址，以Flag{ip}形式提交。
我在做ctf练习题，注入?inject=1 union select 1,2,3时，回显：return preg_match("/select|update|delete|drop|insert|where|\./i",$inject);sql注入的题目，怎么解决
01-15
在处理SQL注入问题时，可以使用正则表达式来过滤用户输入的内容，以防止恶意注入。根据提供的引用内容，可以使用preg_replace函数来过滤用户输入的内容，将其中的关键字替换为空字符串。例如，可以使用以下代码来过滤用户输入的内容： ```php $username = preg_replace('/select|union|from|where|insert|update/','',$username); ``` 这样，如果用户输入的内容中包含了select、union、from、where、insert或update等关键字，这些关键字将被替换为空字符串，从而防止SQL注入的发生。 另外，根据第二个引用内容，你提到了一个具体的SQL注入练习题。在这个练习题中，你输入的参数inject的值是"1 union select 1,2,3"。根据引用内容，可以看出这个练习题中存在一个注入点，可以通过注入语句来获取数据库中的信息。 为了解决这个注入问题，可以使用预处理语句或者参数化查询来防止SQL注入。具体的解决方法取决于你使用的编程语言和数据库。下面是一个使用PHP和MySQL的示例代码，演示如何使用预处理语句来解决SQL注入问题： ```php $inject = $_GET['inject']; $stmt = $mysqli->prepare("SELECT * FROM table_name WHERE column_name = ?"); $stmt->bind_param("s", $inject); $stmt->execute(); $result = $stmt->get_result(); while ($row = $result->fetch_assoc()) { // 处理查询结果 } $stmt->close(); ``` 在这个示例中，我们使用了预处理语句和参数绑定来执行查询，确保用户输入的内容不会被解释为SQL语句的一部分，从而防止SQL注入的发生。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值