这几天和麦香表哥一直在玩取证的事情,我也好好学习了Volatility这个神器,一个开源的Windows,Linux,MaC,Android的内存取证分析工具,由python编写成,命令行操作,支持各种操作系统。
Volatility的安装
这次讲的是在linux下的取证,所以我安装的也是linux平台下的Volatility。在https://code.google.com/archive/p/volatility/下载源代码,或者使用我分享的源码,版本是2.6linux下可以直接使用。如图:
图(一)
另外,Kali自带了Volatility,volatility在“应用程序”-“KaliLinux”-“数字取证中。
Volatility的实战分析
了解常用命令
从图一中,我们知道,我们可以通过pythonvol.py-h查看帮助,获取常用的命令。例如
查看插件、地址空间、以及Profiles
基本操作
加载镜像,以及加载相应的profile加载插件。
需要特别说明的是,windows系统的profiles相当齐全,但是linux下的profile就得自己制作了,相应的法,我们可以在https://code.google.com/p/volatility/wiki/LinuxMemoryForensics看到,或