本文深入探讨了内存取证，包括常用命令如imageinfo、pslist、dumpfiles和memdump等，以及如何在Linux环境中结合grep进行定向扫描。通过案例分析，展示了如何从可疑进程、网络连接、注册表项等角度获取关键信息，最后通过实际操作揭示了如何提取和解析隐藏数据，如zip文件和img镜像中的信息。
内存取证
- 取证文件后缀 .raw、.vmem、.img
- 常用命令(imageinfo，pslist，dumpfiles，memdump)
- 可疑的进程（notepad，cmd）
- 和磁盘取证结合起来考察
- 了解部分操作系统原理
- 常见文件后缀dmg，img
volatility基础命令
可以使用 -h 参数获取使用方法和插件介绍，列举几个常用到的命令
imageinfo：显示目标镜像的摘要信息，这常常是第一步，获取内存的操作系统类型及版本，之后可以在 –profile 中带上对应的操作系统，后续操作都要带上这一参数
pslist：该插件列举出系统进程，但它不能检测到隐藏或者解链的进程，psscan可以
pstree：以树的形式查看进程列表，和pslist一样，也无法检测隐藏或解链的进程
psscan：可以找到先前已终止(不活动)的进程以及被rootkit隐藏或解链的进程
cmdscan：可用于查看终端记录
notepad：查看当前展示的 notepad 文本（–profile=winxp啥的低版本可以，win7的不行，可以尝试使用editbox）
filescan：扫描所有的文件列表
linux配合 grep 命令进行相关字符定向扫描，如：grep flag、grep -E ‘png|jpg|gif|zip|rar|7z|pdf|txt|doc’
dumpfiles：导出某
最低0.47元/天 解锁文章
扫一扫
1373
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
