内存取证工具（volatility）

yichen

发布于 2020-01-02 11:46:31

3.3K0

发布于 2020-01-02 11:46:31

在 kali 下直接使用就好

用到的文件是之前 360 的比赛里面的一个镜像（文件名：xp.raw），本来想自己 dump 一个虚拟机的分析一下，但是太大了就放弃了

确定 profile 的值：

volatility -f xp.raw imageinfo

会出现多个结果，一般情况下取第一个结果

列举进程：

volatility -f xp.raw --profile=WinXPSP2x86 pslist

查看缓存在内存中的注册表：

volatility -f xp.raw --profile=WinXPSP2x86 hivelist

获取 SAM 表中的用户：

volatility -f xp.raw --profile=WinXPSP2x86 printkey -K "SAM\Domains\Account\Users\Names"

把内存中某个进程的数据以 dmp 的形式保存出来：

volatility -f xp.raw --profile=WinXPSP2x86 memdump -p [PID] -D [dump 出的文件保存的目录]

把内存中保留的 cmd 的命令打印出来：

volatility -f xp.raw --profile=WinXPSP2x86 cmdscan

查看内存中的系统密码：

volatility -f xp.raw --profile=WinXPSP2x86 hashdump -y （注册表 system 的 virtual 地址 ）-s （SAM 的 virtual 地址）

首先要获取注册表 system 的 virtual 地址和 SAM 的 virtual 地址，使用 hivelist 查看

再使用：

volatility -f xp.raw --profile=WinXPSP2x86 hashdump -y 0xe1035b60 -s 0xe13fbb60

参考：https://www.jianshu.com/p/6438bc3302c8

本文参与腾讯云自媒体分享计划，分享自微信公众号。

原始发表：2019-11-26，如有侵权请联系 cloudcommunity@tencent.com 删除

本文分享自陈冠男的游戏人生微信公众号，前往查看

如有侵权，请联系 cloudcommunity@tencent.com 删除。

本文参与腾讯云自媒体分享计划，欢迎热爱写作的你一起参与！

登录后参与评论

0 条评论

热度