内存取证工具——volatility 常用命令

最新推荐文章于 2024-08-05 11:12:41 发布
最新推荐文章于 2024-08-05 11:12:41 发布
阅读量1.3w 收藏 96
点赞数 25
分类专栏： 取证 文章标签： 操作系统
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/zjjcxy_long/article/details/108315214
版权

点击可跳转

前言

红帽杯里也做到过内存取证，取证的课又重温了一遍，于是就准备把常用命令记下来。

正文

猜测镜像系统

volatility -f Memory.vmem imageinfo

在这里插入图片描述

在支持的系统里可以看到
在这里插入图片描述

知道系统后，之后的命令就都加上这一段即可
–profile=Win81U1x86

调出shell窗口

这算一个奇淫技巧
volatility -f Memory.vmem --profile=Win81U1x86 volshell
可以测试你猜测的系统是否正确，正确的话就能getshell
在这里插入图片描述

shell的命令：

dt(“内核关键数据结构名称”)

如：

dt("_PEB")
在这里插入图片描述

列举进程

volatility -f mem.vmem --profile=WinXPSP2x86 pslist
在这里插入图片描述

可以看到PID、PPID、启动的时间。

另一个相似的命令是pstree，与pslist差不多，但可以识别子进程以及父进程

在这里插入图片描述

psscan命令可以显示出被隐藏的进程，比如一些隐藏自己的病毒
在这里插入图片描述

最后还有dlllist，可以看到每个进程（程序）
运行所需要的所有动态链接库

在这里插入图片描述

将内存中的某个进程保存出来

以dmp格式保存
volatility -f 内存镜像.dd --profile=WinXPSP2x86 memdump -p [PID] -D [dump 出的文件保存的目录]

在这里插入图片描述

其中memdump可以换成procdump，就可以提取出进程

在这里插入图片描述

同时支持输入 --offset 地址
的方式来提取一些无法从pid提的进程
在这里插入图片描述

列举缓存在内存的注册表

volatility -f Memory.vmem --profile=Win81U1x86 hivelist
在这里插入图片描述

导出注册表
volatility -f Memory.vmem --profile=Win81U1x86 hivedump -o 注册表的 virtual 地址

在这里插入图片描述

列出SAM表中的用户

volatility -f Memory.vmem --profile=Win81U1x86 printkey -K “SAM\Domains\Account\Users\Names”
在这里插入图片描述

可以看到有四个用户

获取最后登录系统的用户

volatility -f Memory.vmem --profile=Win81U1x86 printkey -K “SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon”
在这里插入图片描述

获取内存中正运行的程序

volatility -f Memory.vmem --profile=Win81U1x86 userassist
在这里插入图片描述

列举时间线

volatility -f Memory.vmem --profile=Win81U1x86 timeliner
在这里插入图片描述

好家伙，从04年给我往后列

查看开启的windows服务

volatility.exe -f 内存镜像.dd --profile=WinXPSP2x86 svcscan
在这里插入图片描述

从内存中获取密码哈希

volatility.exe -f 内存镜像.dd --profile=WinXPSP2x86 hashdump -y （注册表 system 的 virtual 地址 ）-s（SAM 的 virtual 地址）
该命令能从内存中获得密码hash
但同样我们需要先知道SAM和system的地址
sam表和system表的地址可以根据前面hivelist列出
在这里插入图片描述
在这里插入图片描述

在这里插入图片描述

获取不了。。
在这里插入图片描述

扫描电脑中的文件

volatility.exe -f 内存镜像.dd --profile=WinXPSP2x86 filescan
在这里插入图片描述

导出列举的文件

dumpfiles -Q 地址 –D 路径

地址就是上面的0x00000000那堆

在这里插入图片描述

提取 cmd 命令使用情况

volatility -f 内存镜像.dd --profile=WinXPSP2x86 cmdscan
在这里插入图片描述

如果需要看详细情况，输入cmdline
在这里插入图片描述

获取到当时的网络连接情况

volatility -f 内存镜像.dd --profile=WinXPSP2x86 netscan
在这里插入图片描述

可以发现xp系统不支持netscan，但一般题目也不会出xp

查看内核驱动

modules
在这里插入图片描述

隐藏的用modscan或者driverscan

在这里插入图片描述
在这里插入图片描述

获取 IE 浏览器的使用情况

volatility -f 内存镜像.dd --profile=WinXPSP2x86 iehistory

如果没有显示说明没有记录
在这里插入图片描述

查看屏幕截图

screenshot --dump-dir=路径

在这里插入图片描述

命令是没错的，但是提示少了pil插件，因为我是windows环境，用linux应该就不会出现这个问题了，下次用虚拟机做。

mid2dog
关注
  • 25
    点赞
  • 踩
  • 96
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
专栏目录
内存取证——volatility
苟有恒，必有三更眠，五更起。
11-04 1万+
内存取证——volatility0x00最近没有做题，之前放掉的一个杂项题，现在重新看看。0x01通过hint，了解到内存取证这个神奇的东西，那么不急着做题，先把这个研究研究。0x02内存取证，是指利用将内存进程写入镜像文件，通过镜像文件查看之前内存进程的一些信息。（个人理解，欢迎纠正）这里主要使用工具——volatility.0x03工具介绍：volatilityvolatility是一款开源的...
volatility内存取证软件，可用于windows环境下
09-20
The Volatility Framework is a completely open collection of tools, implemented in Python under the GNU General Public License, for the extraction of digital artifacts from volatile memory (RAM) ...
linux volatility 命令合集
09-06
linux volatility 内存镜像获取命令大全，亲自实践之后总结归纳得出来的详细版本，大家可以学习学习。kali中集成了volatility，可以下载使用
volatility常用的命令
菜菜的博客
09-30 2263
Volatility是一款开源的内存取证分析工具，支持Windows，Linux，MaC，Android等多类型操作系统系统的内存取证方式。该工具是由python开发的，内存取证工具
内存取证（电子取证）
qq_69100706的博客
07-23 441
内存取证，也被称为RAM取证或易失性内存取证，是指在计算机系统运行时，对物理内存（RAM）进行分析的过程。与硬盘上的数据不同，内存中的数据是易失性的，意味着一旦电源中断，这些数据就会丢失。因此，内存取证需要在系统仍然运行时迅速而准确地进行。
内存取证神器Volatility常用指令大全
qq_43678263的博客
08-11 3380
内存取证神器Volatility常用指令大全
内存取证解题过程--Volatility常用命令
weixin_43891422的博客
08-07 5161
内存取证 所需软件: Linux平台下的Volatility，Windows平台下的010 Editor和Stegsolve 安装方法： Volatility在Ubuntu下安装命令：sudo apt install volatility Stegsolve在Github地址：https://github.com/Giotino/stegsolve 题目： https://share.weiyun.com/Y3B9kf0W 解题过程： 查看内存镜像信息： volatility -f zy.raw imag
内存取证volatility工具命令详解
Y525698136的博客
01-04 2557
内存取证volatility工具命令详解
内存取证 volatility
07-12
Volatility是一款强大的开源工具，专门用于进行内存取证分析，它可以从Windows、Linux、Mac OS X等多种操作系统中获取内存信息。在本篇文章中，我们将深入探讨Volatility 3.2.4.1版本的功能、工作原理以及如何使用它...
Volatility内存取证
12-30
在Kali Liunx系统下使用Volatility工具对未知内存镜像进行详细分析取证
Volatility内存取证大杀器的常用的命令
08-05
Volatility内存取证大杀器的常用命令，一般都只用这些，超级实惠
volatility内存取证命令合集
01-10
volatility内存取证命令合集，原版volatility内存取证CheatSheet，赶紧学习一波！
内存取证工具：MAGNET RAM Capture（v1.20）
12-01
内存取证工具-MAGNET RAM Capture，是由于取证公司MAGNET开发一款免费制作内存镜像的小工具，体积小、还可以对内存镜像设置分段。
内存取证工具
09-30
使用文档+DumpIt+volatity 使用DumpIt获取物理内存，生成物理内存镜像文件，使用volatity对物理内存镜像文件进行分析
The Art of Memory Forensics 内存取证
10-12
The Art of Memory Forensics 内存取证
内存取证-volatility工具的使用 （史上更全教程，更全命令）
热门推荐
路baby的博客
10-20 7万+
内存取证-volatility工具的使用 （史上更全教程，更全命令） 安装步骤 命令解析 工具插件分析 例题讲解
渗透测试内存取证
最新发布
Zgnb173659的博客
08-05 1195
内存取证是指通过分析计算机系统的内存（RAM）来获取有关系统运行状态、用户活动和执行过程的信息。内存取证通常用于数字取证领域，旨在收集关键的计算机数据，以便分析和研究可能发生的安全事件、恶意软件活动或其他计算机相关事件。
内存取证
welcome.php
05-10 359
如有错误，希望大佬及时指出。 工具：volatility（如果找不到windows版本，可以使用kali linux自带的） volatility.exe -f I:\安装包\新建文件夹\电子取证\内存镜像_爆破-判断内存所处的系统-获得所有用户名和密码Hash，并解hash\ch2.dmp imageinfo volatility -f 镜像名称 imageinfo 用来自动分析内存所属的操作...
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值