volatility使用

-f	文件名
-l	位置
-w	写操作
Q	进程号
imageinfo	内存镜像的基本信息
iehistory	查看浏览进程
- k	KPCR指定一个特定KPCR地址

1、查看基本信息，根据查到的信息确定profile的值

volatility -f 文件.vmem imageinfo

2、指定profile，使用具体的命令

iehistory 是看浏览器的进程，pslist是ps命令(也可以用psscan)，等等

volatility -f BOOM-6452e9b9.vmem --profile=Win7SP1x64 iehistory 

3、Kdbgscan

这个插件可以扫描文件的profile的值，通常扫描结果有多个，只有一个结果是完全正确的，kdbgscan和imageinfo都只适用于windows的镜像
Kdbgscan

4、Pslist

volatility -f wuliao.data --profile=Win7SPx64 pslist

pslist可以直接列出运行的进程，如果进程已经结束，会在Exit列显示日期和时间，表明进程已经结束

5、Hivelist

列举缓存在内存中的注册表

volatility -f wuliao.data --profile=Win7SP1x64 hivelist

6、对文件查找及dumo提取某个进程：

volatility -f name --profile=Win7SP1x64 memdump -D . -p 2872
strings -e l ./2872.dmp | grep flag
volatility -f name --profile=Win7SP1x64 dumpfiles -Q 0x000000007e410890 -n --dump-dir=./

7、密码hashdump

olatility -f 文件名 --profile=Win2003SP1x86 hashdump | grep FHREhpe

工具指令篇