volatility 内存取证的简单用法

 

一、常用命令格式

命令格式：volatility -f 文件名 --profile=dump的系统版本 命令

 

volatility -f win7.raw imageinfo  ##检测目标系统信息

 

volatility -f win7.raw --profile=Win7SPIx64 pslist ##查看运行的进程信息

 

volatility -f /root/桌面/mem.dump imageinfo  ##获取dump的版本

 

volatility -f WIN2012R2x64.raw --profile=Win8SP0x64 filescan ##扫描内存中的文件

 

volatility -f WIN2012R2x64.raw --profile=Win8SP0x64 hivelist  ##列举缓存在内存中的注册表

 

volatility -f WIN2012R2x64.raw --profile=Win8SP0x64 printkey -K "SAM\Domains\Account\Users\Names"  ##查看系统用户名

 

volatility -f win7.raw --profile=Win7SPIx64 filescan |grep txt  ##查看文件列表

 

volatility -f win7.raw --profile=Win7SPIx64 dumpfile -Q 0x000007 -D dir  ##下载感兴趣的文件，#dir你保存的路径

 

volatility -f win7.raw --profile=Win7SPIx64 hashdump  ##提取系统的账号密码

 

volatility -f win7.raw --profile=Win7SPIx64 netscan |grep ESTABLISHED  ##查看网络通信连接

 

volatility -f win7.raw --profile=Win7SPIx64 cmdscan  ##查看cmd历史记录

 

volatility -f win7.raw --profile=Win7SPIx64 memdump -p 352 -D dir  ##导出nc进程传输的文件，352为nc的进程号 dir 为保存的路径

 

foremost 352.dmp  ##分割dmp文件

 

二、部分问题解题思路：

（一）、浏览器cookie信息中找flag

volatility -f Browser.raw imageinfo
volatility -f Browser.raw --profile=Win7SP1x64 pslist
volatility -f Browser.raw --profile=Win7SP1x64 pslist |find "chrome.exe" ##使用find查找所有谷歌浏览器进程
volatility.exe -f Browser.raw --profile=Win7SP1x64 memdump -p {对应的PID} -D ./ ##把每一个谷歌浏览器进程的数据保存为dmp格式的文件（这里的PID需要自己指定
使用010editer查找flag逐一筛选，在2608.dmp文件中找到flag

（二）、