windows下的volatility取证分析与讲解

Python微信订餐小程序课程视频

https://edu.csdn.net/course/detail/36074

Python实战量化交易理财系统

https://edu.csdn.net/course/detail/35475

volatility（win64）

1.下载

volatility

下载地址：（我下载的版本2.6，并把名字稍微改了一下）

Release Downloads | Volatility Foundation

windows版

2.使用

1.查看基本信息

查看镜像的基本信息,使用的时候可以将这个软件和需要取证的镜像放到一起

例如：

打开终端，输入命令，

./volatility -f memory.img imageinfo

可以看到各种信息，标出的几个是比较重要的

2.查看进程

./volatility -f memory.img --profile=Win2003SP1x86 pslist

profile具体内容根据实际文件为准，pslist应该比较好理解就是进程的列表的意思。

tips:

把pslist可以替换成完成不同的功能

psxview : 可查看一些隐藏进程
pstree : 以树的形式来列出正在进行的进程，不会显示出隐藏或未链接的进程（套神说的）

psxview: