01

抓取内存dump

Dump?件是进程的内存镜像。可以把程序的执?状态通过调试器保存到dump?件中。Dump?件是

?来给驱动程序编写?员调试驱动程序?的，这种?件必须?专??具软件打开，?如使?WinDbg打

开。

02

volatility?具的使?

Volatility是?款?常强?的内存取证?具,它是由来?全世界的数百位知名安全专家合作开发的?套

?具, 可以?于windows,linux,mac osx,android等系统内存取证。Volatility是?款开源内存取证框架，

能够对导出的内存镜像进?分析，通过获取内核数据结构，使?插件获取内存的详细情况以及系统的运

?状态。由python编写成，命令?操作，?持各种操作系统。

Linux安装：

https://www.cnblogs.com/yunqian2017/p/14769955.html

基本格式

volatility -f <内存镜像> -–profile=<摘要信息> <插件> [插件参数]

通过 volatility --info 获取?具所?持的profile，Address Spaces，Scanner Checks，

Plugins

获取内存镜像的摘要信息

volatility.exe -f <内存镜像> imageinfo

03

常?插件及使?

kdbgscan和imageinfo：显示?标镜像的摘要信息，知道镜像的操作系统后，就可以在 –profile 中带上对应的操作系统，通常只适?于windows镜像pslist：该插件列举出系统进程，但它不能检测到隐藏或者解链的进程，psscan可以psscan：可以找到先前已终?(不活动)的进程以及被rootkit隐藏或解链的进程pstree：以树的形式查看进程列表，和pslist?样，也?法检测隐藏或解链的进程mendump：提取进程在内存中的信息，常?foremost 来分离??的?件procdump：提取进程的可执??件filescan：扫描所有的?件列表hashdump：查看当前操作系统中的 password hash，例如 Windows 的 SAM ?件内容svcscan：扫描 Windows 的服务connscan：查看?络连接hivelist: 内存中的注册表cmdline：命令历史记录netscan：查看?络连接dlllist：查看dll?件，注意要指定进程idscreenshot: 提取屏幕截图editbox：显示下编辑控件的信息iehistory：查看浏览器进程的插件clipboard：查看剪切板的信息mftparser：恢复被删除的?件

导出?件

volatility -f <内存镜像> --profile=<配置?件> -p 120 memdump -D <导出位置>  #导出进程为120的?件到指定?录#注意：导出来后需要?foremost和binwalk提取其中的?件
1、提取截图?件： volatility -f wuliao.data --profile=Win7SP1x64 screenshot --dumpdir=./2、查看系统?户名    volatility -f wuliao.data --profile=Win7SP1x64 printkey -K"SAM\Domains\Account\Users\Names"3、根据offset导出?件：    volatility -f easy_dump.img --profile=Win7SP1x64 dumpfiles -Q0x000000002408c460 -D ./

图像化程序使?

链接：https://pan.baidu.com/s/149zaQifiThthK1-k9NY4iA提取码：skbs

1、获取镜像?件的摘要信息 

2、指定内存镜像和对应摘要

04

Windows内存取证

内存取证-volatility工具的使用

https://blog.csdn.net/u014029795/article/details/116628984

查找?户名密码信息

volatility -f 1.vmem --profile=Win7SP1x64 hashdum

查看进程

volatility -f 1.vmem --profile=Win7SP1x64 pslist

查看服务

volatility -f 1.vmem --profile=Win7SP1x64 svcscan

查看浏览器历史记录

volatility -f 1.vmem --profile=Win7SP1x64 iehistory

查看?络连接

volatility -f 1.vmem --profile=Win7SP1x64 netscan

查看命令?操作

volatility -f 1.vmem --profile=Win7SP1x64 cmdscan

查看?件

volatility -f 1.vmem --profile=Win7SP1x64 filescan

查看?件内容

volatility -f 1.vmem --profile=Win7SP1x64 dumpfiles -Q 0xxxxxxxx -D ./

查看当前展示的notepad内容

volatility -f 1.vmem --profile=Win7SP1x64 notepad （windowsxp可?）

查看屏幕截图

volatility -f 1.vmem --profile=Win7SP1x64 screenshot --dump-dir=./

提取进程

volatility -f 1.vmem --profile=Win7SP1x64 memdump -p xxx --dump-dir=./

查看注册表单元

volatility -f 1.vmem --profile=Win7SP1x64 hivelist

查看注册表键名

volatility -f 1.vmem --profile=Win7SP1x64 hivedump -o 0xfffff8a001032410

查看注册表键值

volatility -f 1.vmem --profile=Win7SP1x64 printkey -K "xxxxxxx"

查看运?程序相关的记录

volatility -f 1.vmem --profile=Win7SP1x64 userassist

查看最?进程提取信息

volatility -f 1.vmem --profile=Win7SP1x64 timeliner

参考链接：

https://blog.csdn.net/u014029795/article/details/116628984https://blog.csdn.net/weixin_42742658/article/details/106819187https://blog.csdn.net/weixin_42582241/article/details/104833803

如果觉得本文不错的话，欢迎加入知识星球，星球内部设立了多个技术版块，目前涵盖“WEB安全”、“内网渗透”、“CTF技术区”、“漏洞分析”、“工具分享”五大类，还可以与嘉宾大佬们接触，在线答疑、互相探讨。