一. 内存镜像的架构

了解内存的基本信息

做题之前先导注册表，如SYSTEM，SOFTWARE，ntuser.dat，SAM

二. 工具

1.【volatility】查询镜像版本号和生成时间

安装位置：

使用方法1：打开命令行

D:/try/volatility/> vol.exe -h

获取镜像架构

D:/try/volatility/> vol.exe -f 镜像文件的地址 imageinfo

生成转储时运行的进程，pslist插件，最后一行的进程可以看到是用什么工具程序来获取内存镜像的，如FTK Image

D:/try/volatility/> vol.exe -f 镜像文件的地址 --profile=上面解析的版本号 pslist

以树的形式生成转储时运行的进程，pstree插件

D:/try/volatility/> vol.exe -f 镜像文件的地址 --profile=上面解析的版本号 pstree

以树的形式生成转储时运行的进程，pstree插件，并生成txt文件放在volatility安装路径上

D:/try/volatility/> vol.exe -f 镜像文件的地址 --profile=上面解析的版本号 pstree > pstree.txt

列出某一进程加载的所有dll文件，dlllist命令，必须导出txt文件，不然太多了

D:/try/volatility/> vol.exe -f 镜像文件的地址 --profile=上面解析的版本号 dlllist > dlllist.txt

列出哈希值，hashdump工具。系统管理员是500多，用户是1000多，临时账户的数字是用户数字的顺延看后面第二段字符是密钥，31开头是空的，有一些工具可以查出哈希值对应的内容（如minikatz）

D:/try/volatility/> vol.exe -f 镜像文件的地址 --profile=上面解析的版本号 hashdump

获取内存中的系统密码，使用hashdump将其提取

D:/try/volatility/> vol.exe -f 镜像文件的地址 --profile=上面解析的版本号 hashdump -y 注册表SYSTEM的虚拟地址 -s SAM的虚拟地址

查询文件访问记录，使用mftparser命令。导出成txt再查询关键字符，查询information.xlsx文件的访问记录

或直接查询文件名的字符串

D:/try/volatility/> vol.exe -f 镜像文件的地址 --profile=上面解析的版本号 mftparser > mft.txt

D:chenxi/try/volatility/> vol.exe -f 镜像文件的地址 --profile=上面解析的版本号 mftparser | findstr information.xlsx

查看网络TCP连接地址

D:/try/volatility/> vol.exe -f 镜像文件的地址 --profile=上面解析的版本号 netscan

内存当中注册表信息对应的地址，hivelist命令

主要注册表：SYSTEM SOFTWARE ntuser.dat（用户） SAM（账户密码什么的）

D:/try/volatility/> vol.exe -f 镜像文件的地址 --profile=上面解析的版本号 hivelist

获取内存的系统密码，可以使用hashdump将它提取出来

D:/try/volatility/> vol.exe -f 镜像文件的地址 --profile=上面解析的版本号 -y 注册表SYSTEM的虚拟地址 -s 注册表SAM的虚拟地址

导出注册表

D:/try/volatility/> vol.exe -f 镜像文件的地址 --profile=上面解析的版本号 --dump-dir=D:\text\

时间轴线，可以查TCP/IP更新的时间一类（txt搜索字符串tcpip）

D:/try/volatility/> vol.exe -f 镜像文件的地址 --profile=上面解析的版本号 timeliner > timeliner.txt

可以得到获取内存镜像的软件的版本号

使用可视化平台操作，选择ProcessID为FTKImager.exe，导出后查看属性中的详细信息

D:/try/volatility/> vol.exe -f 镜像文件的地址 --profile=上面解析的版本号 procdump

使用方法2：可视化平台

双击可执行文件VolatilityWorkbench.exe

再根据需求选择命令command Info，点击run

2.【WRR】注册表文件查看工具

open中打开后缀reg的注册表文件

USB设备专题：

USB设备所包含的时间戳(Windows 8系统中的USB设备连接时间戳问题的研究 - 道客巴巴)

时间戳(时间戳是从1970年1月1日（UTC/GMT的午夜）开始所经过的秒数，不考虑闰秒)转换在线工具：时间戳(Unix timestamp)转换工具 - 在线工具

英文名称	中文名称	属性路径
Driver Assembly Date	设备驱动日期	{a8b865dd-2e3d-4094-ad97-e593a70c75d6}\0002
Install Date	安装日期	{83da6326-97a6-4088-9453-a19236573b29}\0064
First Install Date	首次安装日期	{83da6326-97a6-4088-9453-a19236573b29}\0065
Last Arrivel Date	最后访问日期	{83da6326-97a6-4088-9453-a1923f573b29}\0066
Last Removal Date	最后插入时间	{83da6326-97a6-4088-9453-a1923f573b29}\0067
Firmware Date	固件时间	{540b947e-8b40-45bc-a8a26a0b894cbda2}\001 1

打印机专题：

打印机在注册表中的位置

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Print\Components

内存取证大纲（文件后缀mem）【volatility】【WRR】相关推荐

内存取证常见例题思路方法-volatility (没有最全只有更全)
目录 1.从内存文件中获取到用户hacker 的密码并且破解密码,将破解后的密码作为 Flag值提交; 2.获取当前系统的主机名,将主机名作为Flag值提交; 3.获取当前系统浏览器搜索过的关键词,作 ...
MISC之内存取证_Kali环境下使用volatility
文章目录前言一.安装volatility及相关依赖文件二.例题 1.memory.raw 2.Cookie.raw 3.forensics.raw 4.disk.img 4.memory_5 前 ...
[ctf misc][wp]一些内存取证的wp（含[2021蓝帽杯北部赛区分区赛]博人的文件）
wp 1.[V&N2020 公开赛]内存取证 1.找策略 volatility.exe -f C:\Users\shen\Downloads\mem.raw imageinfo 2.看进程 v ...
内存取证之volatility及案例演示
内存取证之volatility及案例演示简介 volatility基础命令案例讲解 [护网杯]Easy_dump [安洵杯]Administrator 's_secret 简介 Volatilit ...
浅析Volatility内存取证
内存取证 Volatility是开源的Windows,Linux,Mac,Android的内存取证分析工具,由python编写成命令行操作,支持各种操作系统 Volatility是一款开源内存取证框架 ...
内存取证神器Volatility常用指令大全
内存取证神器Volatility常用指令大全具体指令开头部分根据Volatility版本做修改即可查找文件 volatility -f 19.mem --profile=Win7SP1x86_23 ...
linux 内存取证_内存取证工具-volatility、foremost
内存取证 1. 内存取证工具volatility 猜测dump文件的profile值 root@kali:~/CTF# volatility -f mem.vmem imageinfo Volatil ...
内存取证工具——volatility 常用命令
点击可跳转前言正文猜测镜像系统调出shell窗口列举进程将内存中的某个进程保存出来列举缓存在内存的注册表列出SAM表中的用户获取最后登录系统的用户获取内存中正运行的程序列举时间线 ...
内存取证——volatility命令
文章目录前言常用命令 0x01:查看镜像系统 0x02:列举进程 0x03:列举注册表 0x04:获取浏览器浏览历史 0x05:扫描文件 0x06:列举用户及密码 0x07:获取屏幕截图 0x08 ...

内存取证大纲（文件后缀mem）【volatility】【WRR】

目录