volatility命令使用 misc部分取证解题(部分内存取证)
Volatility -f<文件名> --profile=<配置文件><插件>[插件参数]一般思路步骤列举进程 查找需要的信息 Volatility -f name --profile=Winxpap2x86 pslist 创建文件夹 把需要保存的文件提取将内存中的某个进程数据以dup的格式保存出来volatility -f mem.vmem --profile=WinXPSP2x86 -p [PID] -D [dump 出的文件保存的目录]mk..
原创
2021-07-13 13:38:13 ·
3637 阅读 ·
0 评论