Volatility簡介

Volatility是一個用于內存取證的框架工具，集成了多種模塊，支持市面常見的操作系統(tǒng)。 　　下面簡單瀏覽一下大概界面和常用模塊

第一題:從內存文件中找到異常程序的進程，將進程的名稱作為Flag值提交；

使用vol判斷是否文件版本

? ? ? ? vol.exe -f gs02.raw imageinfo

選擇一個系統(tǒng)版本,并且查看系統(tǒng)

? ? ? ? vol.exe -f gs02.raw --profile=Win2003SP1x86 pslist

? ? ? ? ?發(fā)現可疑應用test.exe

第二題:從內存文件中找到黑客將異常程序遷移后的進程編號，將遷移后的進程編號作為Flag值提交；

通過test.exe的pid 3616

查看一下網絡連接,注意因為這個版本為2003所以無法使用netscan只能使用connections

?發(fā)現可疑test進程的pid 并且響應的ip地址與剩下兩個進程相同,判斷為遷移后的進程編號

1172? ? ? 3568

第三題:從內存文件中找到受害者訪問的網站惡意鏈接，將網站的惡意鏈接作為Flag值提交

? ? ? ? 輸入指令vol.exe -f gs02.raw --profile=Win2003SP1x86 iehistory

發(fā)現了Route Address地址和瀏覽器痕跡一樣所以判斷為http://192.168.44.105:8080/77sA8gJu1/QoYtjF

第四題:從內存文件中找到異常程序植入到系統(tǒng)的開機自啟痕跡，使用Volatility工具分析出異常程序在注冊表中植入的開機自啟項的Virtual地址，將Virtual地址作為Flag值提交；

輸入vol.exe -f gs02.raw --profile==Win2003SP1x86 hivelist

0xe171b008就是虛擬內存

0x1d73e008 \Device\HarddiskVolume1\WINDOWS\system32\config\software?

解析是否存在開機自啟項:

./vol.exe -f gs02.0raw --profile==Win2003SP1x86 -o?0xe200f830 printkey

發(fā)現了Microsoft注冊表,接著-K打印出來下級目錄

.\volatility_2.6_win64_standalone.exe -f gs02.raw --profile=Win2003SP1x86 -o 0xe171b008 printkey -K "Microsoft"

?發(fā)現了windows注冊表,接著訪問windows下的注冊表

.\volatility_2.6_win64_standalone.exe -f gs02.raw --profile=Win2003SP1x86 -o 0xe171b008 printkey -K "Microsoft\windows"

?發(fā)先了windows下有一個CurrentVersion接著訪問下去

.\volatility_2.6_win64_standalone.exe -f gs02.raw --profile=Win2003SP1x86 -o 0xe171b008 printkey -K "Microsoft\windows\CurrentVersion"

?這里有一個Run目錄,就是開機自啟的注冊表訪問進去

.\volatility_2.6_win64_standalone.exe -f gs02.raw --profile=Win2003SP1x86 -o 0xe171b008 printkey -K "Microsoft\windows\CurrentVersion\Run"

?發(fā)現了可疑進程test.exe設置了開機自啟功能,同時可以確定了我們的虛擬地址

第五題:從內存文件中找到異常程序植入到系統(tǒng)的開機自啟痕跡，將啟動項最后一次更新的時間作為Flag值提交。（只提交年月日，例如：20210314）

.\volatility_2.6_win64_standalone.exe -f gs02.raw --profile=Win2003SP1x86 shimcache

?2014-11-20 06:27:32 UTC+0000 ? \??\C:\Program Files\VMware\VMware Tools\resume-vm-default.bat,這個文件就是更改時間的文件

?2014-11-20就是答案

需要題的可以私信我,工具也是文章來源地址http://www.zghlxwxcb.cn/news/detail-498296.html

到了這里，關于記錄一次內存取證的文章就介紹完了。如果您還想了解更多內容，請在右上角搜索TOY模板網以前的文章或繼續(xù)瀏覽下面的相關文章，希望大家以后多多支持TOY模板網！