2024全网最全面及最新且最为详细的网络安全技巧八之内存取证流量分析[含CTF真题流量详细分析]（1）———— 作者：LJS

置顶肾透侧视攻城狮

于 2024-08-11 23:24:22 发布

阅读量1k

点赞数 13

分类专栏： 24网络安全-LJS 文章标签：网络安全 bash linux mysql 密码学安全威胁分析网络攻击模型

本文链接：https://blog.csdn.net/weixin_74796680/article/details/140991326

版权

24网络安全-LJS 专栏收录该内容

22 篇文章 1 订阅

订阅专栏

目录

9.1 CTF内存取证及安洵杯真题分析（含volatility命令用法）

其他volatility命令用法

hivedump打印出注册表中的数据：

显示每个进程的加载dll列表

登陆账户系统

userassist键值包含系统或桌面执行文件的信息，如名称、路径、执行次数、最后一次执行时间等

将内存中的某个进程数据以 dmp 的格式保存出来

提取内存中保留的 cmd 命令使用情况

获取到当时的网络连接情况

获取 IE 浏览器的使用情况：

获取内存中的系统密码，可以使用 hashdump 将它提取出来

对文件查找及dumo提取某个进程：

HASH匹配用户账户名密码

Flag字符串扫描：

查找图片：

注册表解析

复制、剪切版：

Dump所有进程：

svcscan查看服务

9.2 流量分析溯源Hacker以及还原Hacker攻击场景的详细过程

9.2.1 题目背景

9.2.2 关卡列表

9.2.3 解题过程

（1）黑客使用的扫描器

（2）黑客扫描到的登陆后台

（3）黑客登录使用的账号密码

（4）webshell文件名和内容

(5）robots.txt中的flag

（6）数据库密码

（7）hash_code

（8）黑客破解了账号ijnu@test.com得到的密码是什么

（9）被黑客攻击的web服务器，网卡配置是什么，提交网卡内网ip

（10）黑客使用了什么账号登陆了mail系统

（11）黑客获得的vpn的ip是多少(后期会继续出HCIA和HICP的知识点)

9.3 内存取证

9.3.1 volatility基础命令

9.3.2 easy_dump.img
9.1 CTF内存取证及安洵杯真题分析（含volatility命令用法）

D:\volatility_2.6_win64_standalone>volatility -f mem.dump imageinfo
Volatility Foundation Volatility Framework 2.6
INFO    : volatility.debug    : Determining profile based on KDBG search...
          Suggested Profile(s) : Win7SP1x64, Win7SP0x64, Win2008R2SP0x64, Win2008R2SP1x64_23418, Win2008R2SP1x64, Win7SP1x64_23418
                     AS Layer1 : WindowsAMD64PagedMemory (Kernel AS)
                     AS Layer2 : FileAddressSpace (D:\volatility_2.6_win64_standalone\mem.dump)
                      PAE type : No PAE
                           DTB : 0x187000L
                          KDBG : 0xf80003e02110L
          Number of Processors : 1
     Image Type (Service Pack) : 1
                KPCR for CPU 0 : 0xfffff80003e03d00L
             KUSER_SHARED_DATA : 0xfffff78000000000L
           Image date and time : 2019-11-13 08:39:44 UTC+0000
     Image local date and time : 2019-11-13 16:39:44 +0800

volatility -f 文件名 --profile 相应的系统版本  命令

D:\volatility_2.6_win64_standalone>volatility -f mem.dump --profile Win7SP1x64 pslist
Volatility Foundation Volatility Framework 2.6
Offset(V)          Name                    PID   PPID   Thds     Hnds   Sess  Wow64 Start                          Exit
------------------ -------------------- ------ ------ ------ -------- ------ ------ ------------------------------ ------------------------------
0xfffffa800ccc1b10 System                    4      0     88      534 ------      0 2019-11-13 08:31:48 UTC+0000
0xfffffa800d2fbb10 smss.exe                252      4      2       29 ------      0 2019-11-13 08:31:48 UTC+0000
0xfffffa800e2227e0 csrss.exe               344    328      9      400      0      0 2019-11-13 08:31:49 UTC+0000
0xfffffa800e3f3340 wininit.exe             396    328      3       79      0      0 2019-11-13 08:31:49 UTC+0000
0xfffffa800e3f77d0 csrss.exe               404    388     10      225      1      0 2019-11-13 08:31:49 UTC+0000
0xfffffa800e41fb10 winlogon.exe            444    388      3      111      1      0 2019-11-13 08:31:49 UTC+0000
0xfffffa800e457060 services.exe            500    396      8      210      0      0 2019-11-13 08:31:49 UTC+0000
0xfffffa800e426b10 lsass.exe               508    396      6      554      0      0 2019-11-13 08:31:49 UTC+0000
0xfffffa800e464060 lsm.exe                 516    396      9      145      0      0 2019-11-13 08:31:49 UTC+0000
0xfffffa800e4f8b10 svchost.exe             608    500     10      351      0      0 2019-11-13 08:31:50 UTC+0000
0xfffffa800e52bb10 svchost.exe             684    500      8      273      0      0 2019-11-13 08:31:50 UTC+0000
0xfffffa800e570b10 svchost.exe             768    500     21      443      0      0 2019-11-13 08:31:50 UTC+0000
0xfffffa800e5b5b10 svchost.exe             816    500     16      381      0      0 2019-11-13 08:31:50 UTC+0000
0xfffffa800e5d7870 svchost.exe             860    500     18      666      0      0 2019-11-13 08:31:50 UTC+0000
0xfffffa800e5f8b10 svchost.exe             888    500     37      919      0      0 2019-11-13 08:31:50 UTC+0000
0xfffffa800e66c870 svchost.exe            1016    500      5      114      0      0 2019-11-13 08:31:50 UTC+0000
0xfffffa800e74fb10 svchost.exe            1032    500     15      364      0      0 2019-11-13 08:31:51 UTC+0000
0xfffffa800e510320 spoolsv.exe            1156    500     13      273      0      0 2019-11-13 08:31:51 UTC+0000
0xfffffa800e5b0060 svchost.exe            1184    500     11      194      0      0 2019-11-13 08:31:51 UTC+0000
0xfffffa800e56e060 svchost.exe            1276    500     10      155      0      0 2019-11-13 08:31:52 UTC+0000
0xfffffa800e685060 svchost.exe            1308    500     12      228      0      0 2019-11-13 08:31:52 UTC+0000
0xfffffa800e632060 svchost.exe            1380    500      4      167      0      0 2019-11-13 08:31:52 UTC+0000
0xfffffa800e692060 VGAuthService.         1480    500      4       94      0      0 2019-11-13 08:31:52 UTC+0000
0xfffffa800e7dab10 vmtoolsd.exe           1592    500     11      287      0      0 2019-11-13 08:31:52 UTC+0000
0xfffffa800e8a7720 svchost.exe            1824    500      6       92      0      0 2019-11-13 08:31:53 UTC+0000
0xfffffa800e898300 WmiPrvSE.exe           1980    608     10      203      0      0 2019-11-13 08:31:53 UTC+0000
0xfffffa800e8e9b10 dllhost.exe            2044    500     15      197      0      0 2019-11-13 08:31:53 UTC+0000
0xfffffa800e90d840 msdtc.exe              1320    500     14      152      0      0 2019-11-13 08:31:54 UTC+0000
0xfffffa800e991b10 taskhost.exe           2208    500     10      264      1      0 2019-11-13 08:31:56 UTC+0000
0xfffffa800e44a7a0 dwm.exe                2268    816      7      144      1      0 2019-11-13 08:31:57 UTC+0000
0xfffffa800e9b8b10 explorer.exe           2316   2260     25      699      1      0 2019-11-13 08:31:57 UTC+0000
0xfffffa800ea4f060 vm3dservice.ex         2472   2316      2       40      1      0 2019-11-13 08:31:57 UTC+0000
0xfffffa800ea54b10 vmtoolsd.exe           2480   2316      9      188      1      0 2019-11-13 08:31:57 UTC+0000
0xfffffa800ea9ab10 rundll32.exe           2968   2620      6      611      1      1 2019-11-13 08:32:02 UTC+0000
0xfffffa800e8b59c0 WmiPrvSE.exe           2764    608     11      316      0      0 2019-11-13 08:32:13 UTC+0000
0xfffffa800ea75b10 cmd.exe                2260   2316      1       20      1      0 2019-11-13 08:33:45 UTC+0000
0xfffffa800e687330 conhost.exe            2632    404      2       63      1      0 2019-11-13 08:33:45 UTC+0000
0xfffffa800e41db10 WmiApSrv.exe           2792    500      4      113      0      0 2019-11-13 08:34:27 UTC+0000
0xfffffa800ed68840 CnCrypt.exe            1608   2316      4      115      1      1 2019-11-13 08:34:40 UTC+0000
0xfffffa800e4a5b10 audiodg.exe            2100    768      6      130      0      0 2019-11-13 08:39:29 UTC+0000
0xfffffa800ea57b10 DumpIt.exe             1072   2316      1       26      1      1 2019-11-13 08:39:43 UTC+0000
0xfffffa800ea1c060 conhost.exe            2748    404      2       62      1      0 2019-11-13 08:39:43 UTC+0000

可以看到里面有个cmd的进程，我们可以先看一下，因为别的基本是系统进程。

D:\volatility_2.6_win64_standalone>volatility -f mem.dump --profile Win7SP1x64 cmdscan
Volatility Foundation Volatility Framework 2.6
**************************************************
CommandProcess: conhost.exe Pid: 2632
CommandHistory: 0x242350 Application: cmd.exe Flags: Allocated, Reset
CommandCount: 1 LastAdded: 0 LastDisplayed: 0
FirstCommand: 0 CommandCountMax: 50
ProcessHandle: 0x60
Cmd #0 @ 0x2229d0: flag.ccx_password_is_same_with_Administrator 
**************************************************
CommandProcess: conhost.exe Pid: 2748
CommandHistory: 0x2926d0 Application: DumpIt.exe Flags: Allocated
CommandCount: 0 LastAdded: -1 LastDisplayed: -1
FirstCommand: 0 CommandCountMax: 50
ProcessHandle: 0x60

cmdscan获取曾经在cmd上输入过的内容得到信息：存在文件 flag.ccx
该文件的密码和administrator的密码相同，接下来我们寻找flag.ccx文件

D:\volatility_2.6_win64_standalone>volatility -f mem.dump --profile Win7SP1x64 filescan | grep flag.ccx
Volatility Foundation Volatility Framework 2.6
0x000000003e435890     15      0 R--rw- \Device\HarddiskVolume2\Users\Administrator\Desktop\flag.ccx

接下来我们将该文件dump出来，可以看到上面说它的密码和administrator相同

D:\volatility_2.6_win64_standalone>volatility -f mem.dump --profile Win7SP1x64 dumpfiles -Q 0x3e435890 --dump-dir=./
Volatility Foundation Volatility Framework 2.6
DataSectionObject 0x3e435890   None   \Device\HarddiskVolume2\Users\Administrator\Desktop\flag.ccx

dump文件
dump下来的文件
接下来寻找administrator的密码
列出SAM表的用户

D:\volatility_2.6_win64_standalone>volatility -f mem.dump --profile Win7SP1x64 printkey -K "SAM\Domains\Account\Users\Names"
Volatility Foundation Volatility Framework 2.6
Legend: (S) = Stable   (V) = Volatile
----------------------------
Registry: \SystemRoot\System32\Config\SAM
Key name: Names (S)
Last updated: 2019-10-15 02:56:47 UTC+0000
Subkeys:
  (S) Administrator
  (S) Guest
Values:
REG_NONE                      : (S)

获取SYSTEM SAM的虚拟地址分别为0xfffff8a000024010 0xfffff8a001590010，可以理解成在内存中的地址

D:\volatility_2.6_win64_standalone>volatility -f mem.dump --profile Win7SP1x64  hivelist
Volatility Foundation Volatility Framework 2.6
Virtual            Physical           Name
------------------ ------------------ ----
0xfffff8a001cfd010 0x0000000039828010 \??\C:\Users\Administrator\AppData\Local\Microsoft\Windows\UsrClass.dat
0xfffff8a002fa2010 0x0000000013a3f010 \??\C:\System Volume Information\Syscache.hve
0xfffff8a00000f010 0x0000000023385010 [no name]
0xfffff8a000024010 0x0000000023510010 \REGISTRY\MACHINE\SYSTEM
0xfffff8a000064010 0x0000000023552010 \REGISTRY\MACHINE\HARDWARE
0xfffff8a0000e7410 0x0000000011bcc410 \??\C:\Windows\ServiceProfiles\NetworkService\NTUSER.DAT
0xfffff8a000100360 0x0000000015346360 \SystemRoot\System32\Config\SECURITY
0xfffff8a0003f4410 0x000000001527d410 \SystemRoot\System32\Config\DEFAULT
0xfffff8a0007ae010 0x000000001d867010 \Device\HarddiskVolume1\Boot\BCD
0xfffff8a0012d4010 0x000000001c938010 \SystemRoot\System32\Config\SOFTWARE
0xfffff8a001590010 0x000000001151a010 \SystemRoot\System32\Config\SAM
0xfffff8a0015ca010 0x00000000111a3010 \??\C:\Windows\ServiceProfiles\LocalService\NTUSER.DAT
0xfffff8a001c34010 0x0000000039803010 \??\C:\Users\Administrator\ntuser.dat

hashdump获取用户密码的hash值

D:\volatility_2.6_win64_standalone>volatility -f mem.dump --profile Win7SP1x64 hashdump -y 0xfffff8a000024010 -s 0xfffff8a001590010
Volatility Foundation Volatility Framework 2.6
Administrator:500:6377a2fdb0151e35b75e0c8d76954a50:0d546438b1f4c396753b4fc8c8565d5b:::
Guest:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::

CMD5查询hash值得到Administrator账户的密码。至此完成加密文件提取和用户密码提取
之前查看进程时发现cncrypt，猜测文件使用cncrypt加密的
CnCrypt加载得到flag
其他volatility命令用法
hivedump打印出注册表中的数据：

volatility -f name  --profile=WinXPSP2x86 hivedump -o 注册表的 virtual 地址

显示每个进程的加载dll列表

Volatility -f name -profile = Win7SP0x86 dlllist> dlllist.txt

获取SAM表中的用户：

volatility -f name --profile=WinXPSP2x86 printkey -K "SAM\Domains\Account\Users\Names"

登陆账户系统

volatility -f name --profile=WinXPSP2x86 printkey -K "SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon"

userassist键值包含系统或桌面执行文件的信息，如名称、路径、执行次数、最后一次执行时间等

volatility -f name --profile=WinXPSP2x86 userassist

将内存中的某个进程数据以 dmp 的格式保存出来

volatility -f name --profile=WinXPSP2x86 -p [PID] -D [dump 出的文件保存的目录]

提取内存中保留的 cmd 命令使用情况

volatility -f name --profile=WinXPSP2x86 cmdscan

获取到当时的网络连接情况

volatility -f name --profile=WinXPSP2x86 netscan

获取 IE 浏览器的使用情况：

volatility -f name --profile=WinXPSP2x86 iehistory

获取内存中的系统密码，可以使用 hashdump 将它提取出来

volatility -f name --profile=WinXPSP2x86 hashdump -y （注册表 system 的 virtual 地址 ）-s （SAM 的 virtual 地址）
volatility -f name --profile=WinXPSP2x86 hashdump -y 0xe1035b60 -s 0xe16aab60

对文件查找及dumo提取某个进程：

volatility -f name --profile=Win7SP1x64 memdump -D . -p 2872
strings -e l ./2872.dmp | grep flag
volatility -f name --profile=Win7SP1x64 dumpfiles -Q 0x000000007e410890 -n --dump-dir=./

HASH匹配用户账户名密码

Hash, 然后使用john filename --format=NT破解

安全进程扫描

volatility -f name --profile=Win7SP1x64 psscan

Flag字符串扫描：
```
strings -e l 2616.dmp | grep flag
```
查找图片：

volatility -f name--profile=Win7SP1x64 filescan | grep -E 'jpg|png|jpeg|bmp|gif
volatility -f name --profile=Win7SP1x64 netscan

注册表解析

volatility -f name --profile=Win7SP1x64 hivelist
volatility -f name --profile=Win7SP1x64  -o 0xfffff8a000024010 printkey -K "ControlSet001\Control;"

复制、剪切版：

volatility -f name --profile=Win7SP1x64 clipboard
volatility -f name --profile=Win7SP1x64 dlllist -p 3820

Dump所有进程：

volatility -f name --profile=Win7SP1x64 memdump -n chrome -D .
利用字符串查找download
python vol.py -f name --profile=Win7SP1x86 shimcache

svcscan查看服务

python vol.py -f name --profile=Win7SP1x86 svcscan

9.2 流量分析溯源Hacker以及还原Hacker攻击场景的详细过程

9.2.1 题目背景

某公司内网网络被黑客渗透，简单了解，黑客首先攻击了一台web服务器，破解了后台的账户密码，随之利用破解的账号密码登陆了mail系统，然后获取了vpn的申请方式，然后登陆了vpn，在内网pwn掉了一台打印机，请根据提供的流量包回答下面有关问题

9.2.2 关卡列表

1 某公司内网网络被黑客渗透，请分析流量，给出黑客使用的扫描器
2 某公司内网网络被黑客渗透，请分析流量，得到黑客扫描到的登陆后台是(相对路径即可)
3 某公司内网网络被黑客渗透，请分析流量，得到黑客使用了什么账号密码登陆了web后台(形式:username/password)
<?php @eval($_POST['pass']); ?>
4 某公司内网网络被黑客渗透，请分析流量，得到黑客上传的webshell文件名是，内容是什么,提交webshell内容的base编码
5 某公司内网网络被黑客渗透，请分析流量，黑客在robots.txt中找到的flag是什么
6 某公司内网网络被黑客渗透，请分析流量，黑客找到的数据库密码是多少 7 某公司内网网络被黑客渗透，请分析流量，黑客在数据库中找到的hash_code是什么
8 某公司内网网络被黑客渗透，请分析流量，黑客破解了账号ijnu@test.com得到的密码是什么
9 某公司内网网络被黑客渗透，请分析流量，被黑客攻击的web服务器，网卡配置是是什么，提交网卡内网ip
10 某公司内网网络被黑客渗透，请分析流量，黑客使用了什么账号登陆了mail系统（形式: username/password）
11某公司内网网络被黑客渗透，请分析流量，黑客获得的vpn的ip是多少

9.2.3 解题过程

（1）黑客使用的扫描器

打开webone.pcap数据包，按照协议类型排序一下，看到http协议的时候，发现了明显的awvs的特征 打开webone.pcap数据包，使用 http contains acunetix 发现了很多awvs的特征，说明是用awvs进行扫描的

（2）黑客扫描到的登陆后台

登陆后台99%使用的是POST方法，直接使用过滤器过滤一下，然后追踪TCP流，看到302重定向，基本就是登陆成功了
http.request.method=="POST"
（3）黑客登录使用的账号密码

但是查看过后我发现有很多302重定向登陆成功的结果，发现了很多账号密码，为了确定黑客所使用的，我找了一下黑客的ip地址，就是刚刚看到使用awvs进行扫描的源地址一定就是黑客的ip。然后使用过滤器再次过滤一下。
http.request.method=="POST" and ip.src==192.168.94.59 and http contains "rec=login"
admin admin!@#pass123
（4）webshell文件名和内容

通过下面的语句过滤一下数据，翻阅数据包后发现了一个a.php可能有点蹊跷，但是没有发现他是如何上传的，不过追踪一下TCP流，发现1234为传递值，并有base64加密过的内容，解密一下发现是php代码，以z1为传递值，z1也是使用了base64加密过的内容，再次解密一下得到了一个目录。总结上面的东西发现好像并没有什么作用。。。
http.request.method=="POST" and ip.src==192.168.94.59 and http
从上面的发现基本可以断定webshell是php写的，盲猜一下是php一句话木马，使用下面的语句过滤一下，没有发现数据，考虑到可能是tcp重传的原因，导致http中没追踪到，把http换成tcp再次过滤一下查看，最终找到了webshell的内容
http contains "<?php @eval"
tcp contains "<?php @eval"
(5）robots.txt中的flag

直接导出http对象，在文本过滤器中选择robots.txt，将文件保存下来，即可获得flag

（6）数据库密码

直接过滤http数据包，查看数据包的末尾，如果数据库登陆成功，那么http响应码应该为200,并且一般会包含database，逐一查看响应码为200的数据包，即可找到数据库密码
http.response.code==200 and http contains "database"
（7）hash_code

打开webtwo流量包，可以先利用这个关键字查找一下，但是没有发现什么，既然还是关于数据库的，在上面我们已经知道数据库的主机是10.3.3.101，可以先查这个ip有什么数据。
ip.src==10.3.3.101 and tcp contains "hash_code"
追踪tcp流，

（8）黑客破解了账号ijnu@test.com得到的密码是什么

在webtwo.pcap这个流量包中，使用分组详情查询，即可查到密码
也可以直接用下面的语法进行过滤：
tcp contains "ijnu@test.com"
md5解密：

（9）被黑客攻击的web服务器，网卡配置是什么，提交网卡内网ip

回到webone.pcap这个流量包中，这个问题问的是网卡的配置，一般网卡的名称都为eth0,所以可以利用这个关键词进行查询
tcp contains "eth0"
追踪一下tcp流，即可发现网卡的相关配置内网IP为10.3.3.100

（10）黑客使用了什么账号登陆了mail系统

这题需要综合来看mailtwo.pcap和mailtwo1.pcap两个数据包。先查询下mailtwo.pcap这个数据包，一开始利用POST和mail过滤了下
http.request.method==POST && http contains "mail"
3oUuaEG4ux6xKD3RZ1iSew== 加密方式是AES
1234567812345678 iv偏移量
1234567812345678 必须经过md5加密后才可以使用的key
d959caadac9b13dcb3e609440135cf54
登陆用户名是wenwenni
获取到密码的加密方式，可能会理解base64，但不可能，AES加密。你需要找到我们key，和iv偏移量
找到它的加密算法：1234567812345678
找到登陆的用户名和密码
+ZgE14UGcFcyRGLI0/ZXPQ==
admin!@#123
(http contains "{\"\success":true}" or http.request.method=="POST") && ip.addr=192.168.94.59
发现黑客进行大量的登陆尝试，随便找了一个密码，先看看是什么加密
不是base64,应该是AES加密，但需要找到加密的密钥，所以还是得重新过滤在服务器返回的信息中去查找，就先只过滤一下http,随便找一个状态码为200的追踪下TCP流，在服务器返回的信息中发现
这是AES的CBC加密，填充格式为ZeroPadding，密钥为字符串1234567812345678的hash值，偏移量为1234567812345678
既然加密方式知道了，下面只需要找到正确的账号密码即可在过滤了http后，发现第一条数据有logout,查看了一下Cookie信息，发现了登陆的用户名
在42号数据请求中，发现登录用户为wenwenni，再查看一下返回数据44号中出现{“success”:true}，代表登陆成功。
(http contains "{\"success\":true}" or http.request.method=="POST") and ip.addr==192.168.94.59
发现都是在爆破，而且最后也没有出现成功的，利用这个过滤方法查询第二个包mailtwo1.pcap 从后往前看，18152是登陆成功的返回结果，对应的17126则应该就是正确的加密后的密码

aes解密工具：在线AES加密解密、AES在线加密解密、AES encryption and decryption--查错网
最终账号密码：
admin/admin!@#PASS123
（11）黑客获得的vpn的ip是多少(后期会继续出HCIA和HICP的知识点)

需要对pptp知识点有一定了解，iaip已经涵盖vpn知识点
例如IPSEC VPN GRE等 l2tp pptp

9.3 内存取证

取证文件后缀 .raw、.vmem、.img

常用命令(imageinfo，pslist，dumpfiles，memdump)

可疑的进程（notepad，cmd）和磁盘取证结合起来

常见文件后缀dmg，img

9.3.1 volatility基础命令

可以使用 -h 参数获取使用方法和插件介绍，列举几个常用到的命令
imageinfo：显示目标镜像的摘要信息，这常常是第一步，获取内存的操作系统类型及版本，之后可以在 –profile 中带上对应的操作系统，后续操作都要带上这一参数
pslist：该插件列举出系统进程，但它不能检测到隐藏或者解链的进程，psscan可以
pstree：以树的形式查看进程列表，和pslist一样，也无法检测隐藏或解链的进程
psscan：可以找到先前已终止(不活动)的进程以及被rootkit隐藏或解链的进程
cmdscan：可用于查看终端记录
notepad：查看当前展示的 notepad 文本（–profile=winxp啥的低版本可以，win7的不行，可以尝试使用editbox）
filescan：扫描所有的文件列表
linux配合 grep 命令进行相关字符定向扫描，如：grep flag、grep -E ‘png|jpg|gif|zip|rar|7z|pdf|txt|doc’
dumpfiles：导出某一文件(指定虚拟地址)
需要指定偏移量 -Q 和输出目录 -D
memdump：提取出指定进程，常用foremost 来分离里面的文件
需要指定进程-p [pid] 和输出目录 -D
editbox：显示有关编辑控件（曾经编辑过的内容）的信息
screenshot：保存基于GDI窗口的伪截屏
clipboard：查看剪贴板信息
iehistory：检索IE浏览器历史记录
systeminfo：显示关于计算机及其操作系统的详细配置信息（插件）
hashdump：查看当前操作系统中的 password hash，例如 Windows 的 SAM 文件内容(mimikatz插件可以获取系统明文密码)
mftparser：恢复被删除的文件
svcscan：扫描 Windows 的服务
connscan：查看网络连接
envars：查看环境变量
dlllist: 列出某一进程加载的所有dll文件
hivelist: 列出所有的注册表项及其虚拟地址和物理地址
timeliner: 将所有操作系统事件以时间线的方式展开

9.3.2 easy_dump.img
python vol.py -f easy_dump.img imageinfo
INFO    : volatility.debug    : Determining profile based on KDBG search...
          Suggested Profile(s) : Win7SP1x64, Win7SP0x64, Win2008R2SP0x64, Win2008R2SP1x64_24000, Win2008R2SP1x64_23418, Win2008R2SP1x64, Win7SP1x64_24000, Win7SP1x64_23418
                     AS Layer1 : WindowsAMD64PagedMemory (Kernel AS)
                     AS Layer2 : FileAddressSpace (/home/ring04h/volatility/easy_dump.img)
                      PAE type : No PAE
                           DTB : 0x187000L
                          KDBG : 0xf8000403f070L
          Number of Processors : 1
     Image Type (Service Pack) : 0
                KPCR for CPU 0 : 0xfffff80004040d00L
             KUSER_SHARED_DATA : 0xfffff78000000000L
           Image date and time : 2018-09-28 09:02:19 UTC+0000
     Image local date and time : 2018-09-28 17:02:19 +0800
python vol.py -f easy_dump.img --profile=Win7SP1x64 pslist|psscan|pstree
有一个notepad进程，明显是写文件了，提取出来。
python vol.py -f easy_dump.img --profile=Win7SP1x64 memdump -p 2616 -D ./
但是提取出来的直接用strings是无法查看的需要通过一下命令
strings -e l 2626.dmp | grep flag
继续寻找图片文件（这边显示服务器超时，图片上传不了）
python vol.py -f easy_dump.img --profile=Win7SP1x64 filescan |grep -E 'jpg|gif|png'
提取图片文件
python vol.py -f easy_dump.img --profile=Win7SP1x64 dumpfiles -Q 0x000000002408c460 -D ./
图片提取出来后，利用binwalk测试图片中是否携带zip文件等内容
binwalk file.None.0xfffffa8008355410.vacb
明显有一个zip文件和一个img文件，img后缀有可能是一个镜像文件，可以先用file命令查看下，也可以unzip解压下压缩包
经过解压，我们发现，zip文件夹里面就是message.img文件，我们用file查看是linux文件，直接利用mount挂载
可以看到里面有两个文件夹和一个txt，我们先查看下txt文件（救命电脑运存只有2G不到了）
269 206
269 207
269 208
269 209
269 210
269 211
269 212
269 213
269 214
269 215
269 216
269 217
269 218
269 219
经过查看，有非常多的数字成对出现，与坐标还是比较类似
尝试将数字转为坐标，使用 gnuplot 画图，发现二维码
直接处理后，生成一个二维码，扫描。
提示一串英文
Here is the vigenere key: aeolus, but i deleted the encrypted message。
这是一个维吉尼亚密码，秘钥是aeolus，有了加密方式，有了秘钥，需要密文。继续查看刚才两个文件夹，寻找密文
寻找到一个.swp文件，如果熟悉它，知道是中断文件，直接恢复
vim -r .message.swp 
最后解密出现的密文（破电脑，真是服了，跑的比我还要慢）

hcaker
HACKER

$\arcsin ``\cosh^{-1}$

肾透侧视攻城狮

关注

13
点赞
踩
17

收藏

觉得还不错? 一键收藏
0
评论
2024全网最全面及最新且最为详细的网络安全技巧八之内存取证流量分析[含CTF真题流量详细分析]（1）———— 作者：LJS

CTF内存取证及安洵杯真题分析；含volatility常用令用法以及；溯源Hacker的详细过程溯源黑客攻击的详细过程
复制链接

扫一扫