标签：profile ## win7 raw 解题 内存 -- volatility

volatility 内存取证的简单用法

 

一、常用命令格式

命令格式：volatility -f 文件名 --profile=dump的系统版本 命令

 

volatility -f win7.raw imageinfo  ##检测目标系统信息

 

volatility -f win7.raw --profile=Win7SPIx64 pslist ##查看运行的进程信息

 

volatility -f /root/桌面/mem.dump imageinfo  ##获取dump的版本

 

volatility -f WIN2012R2x64.raw --profile=Win8SP0x64 filescan ##扫描内存中的文件

 

volatility -f WIN2012R2x64.raw --profile=Win8SP0x64 hivelist  ##列举缓存在内存中的注册表

 

volatility -f WIN2012R2x64.raw --profile=Win8SP0x64 printkey -K "SAM\Domains\Account\Users\Names"  ##查看系统用户名

 

volatility -f win7.raw --profile=Win7SPIx64 filescan |grep txt  ##查看文件列表

 

volatility -f win7.raw --profile=Win7SPIx64 dumpfile -Q 0x000007 -D dir  ##下载感兴趣的文件，#dir你保存的路径

 

volatility -f win7.raw --profile=Win7SPIx64 hashdump  ##提取系统的账号密码

 

volatility -f win7.raw --profile=Win7SPIx64 netscan |grep ESTABLISHED  ##查看网络通信连接

 

volatility -f win7.raw --profile=Win7SPIx64 cmdscan  ##查看cmd历史记录

 

volatility -f win7.raw --profile=Win7SPIx64 memdump -p 352 -D dir  ##导出nc进程传输的文件，352为nc的进程号 dir 为保存的路径

 

foremost 352.dmp  ##分割dmp文件

 

二、部分问题解题思路：

（一）、浏览器cookie信息中找flag

volatility -f Browser.raw imageinfo
volatility -f Browser.raw --profile=Win7SP1x64 pslist
volatility -f Browser.raw --profile=Win7SP1x64 pslist |find "chrome.exe" ##使用find查找所有谷歌浏览器进程
volatility.exe -f Browser.raw --profile=Win7SP1x64 memdump -p {对应的PID} -D ./ ##把每一个谷歌浏览器进程的数据保存为dmp格式的文件（这里的PID需要自己指定
使用010editer查找flag逐一筛选，在2608.dmp文件中找到flag

（二）、

标签：profile,##,win7,raw,解题,内存,--,volatility
来源： https://www.cnblogs.com/jssi/p/13762308.html

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。