Misc-内存取证

volatility2入门

入门Labs: https://github.com/stuxnet999/MemLabs (需要魔法上网)

安装方法

下载 Download the Volatility 2.6 Linux Standalone Executables (x64)，将其standalone文件改名后挂载到系统变量（或者直接丢到sbin文件里）

常用的命令

1. 查看dump或者raw的操作系统类型

volatility -f target.raw imageinfo

2. 查看进程

   volatility -f target.raw --profile Win7SP1x64 pslist
   volatility -f target.raw --profile Win7SP1x64 pstree
   # 可疑软件列表
   ## 1. KeePass
   ## 2. Chrome
   ## 3. mspaint
   ## 4. notepad
   # 进程转储到一个可执行的文件
   volatility -f target.raw --profile Win7SP1x64 procdump -p PID -D ./
   

3. 命令行相关

   # 查看执行命令行的历史记录
   volatility -f target.raw --profile Win7SP1x64 cmdscan 
   volatility -f target.raw --profile Win7SP1x64 consoles
   # 查看进程的命令行参数
   volatility -f target.raw --profile Win7SP1x64 cmdline
   

4. 获取内存中的系统密码

   volatility -f target.raw --profile Win7SP1x64 hashdump
   

5. 获取浏览记录

   volatility -f target.raw --profile Win7SP1x64 iehistory
   ## 对于chrome的历史记录 可以用chromehistory 也可以查找History这个文件用数据库打开
   

6. 提取文件对象池信息

   volatility -f target.raw --profile Win7SP1x64 filescan
   # 提取文件
   volatility -f target.raw --profile Win7SP1x64 dumpfiles -Q $OFFSET -D ./
   

7. 查看环境变量

   volatility -f target.raw --profile Win7SP1x64 envars
   

8. 涉及到删除信息查看MFT表

    volatility -f MemoryDump_Lab4.raw --profile Win7SP1x64 mftparser > mft.txt