色哟哟视频在线观看-色哟哟视频在线-色哟哟欧美15最新在线-色哟哟免费在线观看-国产l精品国产亚洲区在线观看-国产l精品国产亚洲区久久

0
  • 聊天消息
  • 系統消息
  • 評論與回復
登錄后你可以
  • 下載海量資料
  • 學習在線課程
  • 觀看技術視頻
  • 寫文章/發帖/加入社區
會員中心
創作中心

完善資料讓更多小伙伴認識你,還能領取20積分哦,立即完善>

3天內不再提示

Volatility取證大殺器

哆啦安全 ? 來源:哆啦安全 ? 作者:哆啦安全 ? 2022-10-28 11:19 ? 次閱讀

Volatility取證大殺器

Volatility學習

Volatility是一款開源的內存取證軟件,支持Windows、Mac、linux(kali下等等)環境下使用。并且分別有Volatility2與Volatility3兩個大版本,依次需要在py2、py3的環境下進行使用,也要確保系統中已安裝環境,安裝pycrpto庫函數。

學習方向(個人見解):對于常規比賽中的內存取證,多為查看計算機版本號、PID、PPID、SID、密碼、時間等等之類的。不過就比賽而言,掌握基礎命令,去解決比賽中的題目足矣,并且內存取證也有很多小工具、小程序,要與Volatility結合而用,包括與取證大師、仿真的虛擬機一同查看探究,我認為更多的要注重于時間線,可以得到很多意想不到的的結果。

其次,就現實生活中的工作當中,內存取證涉及方面寬、廣、面大,需要我們共同去探究學習!最后希望大家共同進步!

下載安裝

下載:官網下載即可

4e68de94-5663-11ed-a3b6-dac502259ad0.png

下載網址:

https://www.volatilityfoundation.org/releases(切記:下載時仍然保留)

4e87270a-5663-11ed-a3b6-dac502259ad0.png

4eb2bcf8-5663-11ed-a3b6-dac502259ad0.png

Windows環境下下載軟件包

4ec1ba96-5663-11ed-a3b6-dac502259ad0.png

打開后

直接輸入CMD打開使用(簡單方便)

4ecc7e2c-5663-11ed-a3b6-dac502259ad0.png

學習使用,以2019年美亞杯個人賽鏡像為準則

4f095d56-5663-11ed-a3b6-dac502259ad0.png

只需將鏡像拖入 后續便可直接進行使用

4f78ee0a-5663-11ed-a3b6-dac502259ad0.png

命令學習

(本次多為Windows大環境下的使用)

判斷未知內存鏡像系統版本信息

命令:volatility -f 文件路徑 imageinfo

4f916eee-5663-11ed-a3b6-dac502259ad0.png

kali下解析(命令相同 做一演示)

50a852a2-5663-11ed-a3b6-dac502259ad0.png

選擇版本的型號

50bc8290-5663-11ed-a3b6-dac502259ad0.png

命令:pslist/pstree/psscan

非常有用的插件,列出轉儲時運行的進程的詳細信息;顯示過程ID,該父進程ID(PPID),線程的數目,把手的數目,日期時間時,過程開始和退出

pslist無法顯示隱藏/終止進程

50d0c6f6-5663-11ed-a3b6-dac502259ad0.png

其次在volatility中尋找自己需要的信息是非常煩瑣的,因此導出查看可以為我們提供便利

命令:volatility -f mem.vmem --profile=WinXPSP2 x86 pslist >pslist.txt

50fb46d8-5663-11ed-a3b6-dac502259ad0.png

命令:

volatility -f D:電子取證備賽memdump.mem --profile=Win7SP1x86_23418 svcscan >svcscan.txt

任何數據都可以導出,然后進行使用

比如:導出“查看服務(svcscan)”的數據

5107d394-5663-11ed-a3b6-dac502259ad0.png

5122b722-5663-11ed-a3b6-dac502259ad0.png

命令:hivelist:查看緩存在內存的注冊表

51510a1e-5663-11ed-a3b6-dac502259ad0.png

命令:hashdump:獲取內存中的系統密碼

51652350-5663-11ed-a3b6-dac502259ad0.png

命令:getsids:查看SID

volatility -f bb.raw--profile=Win7SP1x86_23418 getsids

517fdb0a-5663-11ed-a3b6-dac502259ad0.png

打印機在注冊表中的位置

借鑒:(助于大家學習)

https://www.doc88.com/p-9107655008710.html?r=1

HKEY_LOCAL_MACHINESOFTWAREMicrosoftPrintComponents默認瀏覽器注冊表

51ae46e8-5663-11ed-a3b6-dac502259ad0.png

取證例題

小明不小心把自己出題的flag在微信中發了出去,你能找到這個flag嗎?附件下載提取碼(GAME)

https://share.weiyun.com/YHLKL9tn

備用下載

https://pan.baidu.com/s/1ttL3WmlMn48RDXGCIy6VkQ

1、查看文件

51cd8cb0-5663-11ed-a3b6-dac502259ad0.png

2、思路整合

根據題意flag在微信當中因此思路為 Find wechat→導出數據庫→破解→得到flag

四個可疑進程

51f16c70-5663-11ed-a3b6-dac502259ad0.png

3、尋找關鍵信息

52501892-5663-11ed-a3b6-dac502259ad0.png

5261a436-5663-11ed-a3b6-dac502259ad0.png

52687ef0-5663-11ed-a3b6-dac502259ad0.png

5282546a-5663-11ed-a3b6-dac502259ad0.png

5292e7bc-5663-11ed-a3b6-dac502259ad0.png

52bb6f16-5663-11ed-a3b6-dac502259ad0.png

4、導出

gift導出,發現出來dat文件,但是dat文件可以進行修改后綴。改為jpg格式,打開后發現如下。

5301e1b2-5663-11ed-a3b6-dac502259ad0.png

53256934-5663-11ed-a3b6-dac502259ad0.png

5338ec84-5663-11ed-a3b6-dac502259ad0.png

5、結合所學知識得到flag

使用010 editor進行修改圖片大小

Passwd:

Nothing is more important than your life!

534b4c76-5663-11ed-a3b6-dac502259ad0.png

5364a7b6-5663-11ed-a3b6-dac502259ad0.png

解碼:

c0778cb1c62f4e5bb246f8dfe5dec0117e4ae15959794d88886a4a2c5cde9354
base64解碼網址:https://the-x.cn/zh-cn/base64

53ad9c50-5663-11ed-a3b6-dac502259ad0.png

53c1db5c-5663-11ed-a3b6-dac502259ad0.png

在文件里輸入cmd 輸入命令 python(不知道python版本號,那么就直接輸入python)

腳本→

53cc4a24-5663-11ed-a3b6-dac502259ad0.png

修改偏移量

123.py -k

c0778cb1c62f4e5bb246f8dfe5dec0117e4ae15959794

d88886a4a2c5cde9354 -d wechat.dat

53d90016-5663-11ed-a3b6-dac502259ad0.png

53e4fc04-5663-11ed-a3b6-dac502259ad0.png

53fc7b72-5663-11ed-a3b6-dac502259ad0.png

54041148-5663-11ed-a3b6-dac502259ad0.png

命令總結

比賽、實戰中常用的命令總結方便大家學習使用

命令:volatility -f 文件路徑 imageinfo 判斷未知內存鏡像系統版本信息

命令:pslist/pstree/psscan 顯示過程ID,該父進程ID(PPID),線程的數目,把手的數目,日期時間時,過程開始和退出

命令:導出 volatility-f mem.vmem --profile=WinXP SP2 x86 pslist >pslist.txt

命令:svcscan 查看服務的數據

命令:hivelist:查看緩存在內存的注冊表

命令:hashdump:獲取內存中的系統密碼

命令:getsids:查看SID

命令:iehistory 查看瀏覽器歷史記錄

命令:查看服務 svcscan

命令:查看運行程序相關的記錄,比如最后一次更新時間,運行過的次數等 userassist

命令:netscan 查看網絡連接

命令:filescan 查看文件

命令:printkey 獲取SAM表中的用戶

命令:檢索最后的登入用戶

printkey-K "SOFTWAREMicrosoftWindows NTCurrentVersionWinlogin"

命令:sockscan TrueCrypt摘要

審核編輯 :李倩

聲明:本文內容及配圖由入駐作者撰寫或者入駐合作網站授權轉載。文章觀點僅代表作者本人,不代表電子發燒友網立場。文章及其配圖僅供工程師學習之用,如有內容侵權或者其他違規問題,請聯系本站處理。 舉報投訴
  • 軟件
    +關注

    關注

    69

    文章

    5007

    瀏覽量

    87935
  • 線程
    +關注

    關注

    0

    文章

    505

    瀏覽量

    19725

原文標題:內存取證|Volatility大殺器

文章出處:【微信號:哆啦安全,微信公眾號:哆啦安全】歡迎添加關注!文章轉載請注明出處。

收藏 人收藏

    評論

    相關推薦

    視覺傳感 | 這些常見的Q&A!今天統一回答!

    明治的視覺傳感功能豐富,集相機、光源、鏡頭為一體,搭載先進的算法,可被握在手心的小巧尺寸,是狹小空間的視覺檢測神器。備利用傳感與光學元件獲取被測物的圖像,通過設備內置的深度學習算法實現有無檢測
    的頭像 發表于 11-05 08:03 ?367次閱讀
    視覺傳感<b class='flag-5'>器</b> |  這些常見的Q&amp;amp;A!今天統一回答!

    一文掌握UV LED在空凈消領域的主要應用

    近年來,隨著科技的日新月異,LED領域也發展迅速。作為一種新型LED,UV LED憑借其眾多優秀特性而備受矚目。本文將介紹UV LED的主要性能、背后原理以及在空凈消相關領域的應用。 ? 一、走進
    發表于 10-23 14:02 ?1094次閱讀
    一文掌握UV LED在空凈消<b class='flag-5'>殺</b>領域的主要應用

    杰和科技AI PC N601“”瘋啦

    自2022年11月30日OpenAI宣布推出ChatGPT以來,圍繞AI的產品、應用如雨后春筍般出現;2023年12月15日,英特爾發布了首款支持端側部署AI模型的消費級處理——Core
    的頭像 發表于 09-27 10:00 ?243次閱讀
    杰和科技AI PC N601“<b class='flag-5'>殺</b>”瘋啦

    垂直啟航·未來e行!2024深圳eVTOL展將于9月23-25日在深圳召開

    2024深圳eVTOL展將通過“兩天論壇+三天展覽”的形式展開,專注未來城市空中交通新形態、民用有人駕駛、無人駕駛航空、城市低空物流,并討論eVTOL的整機研發、設計、制造、飛控、適航取證、eVTOL動力、航電、材料等多層次技術內容。
    的頭像 發表于 08-23 15:43 ?399次閱讀

    MF2200北亞手機取證產品#手機取證

    手機
    Frombyte
    發布于 :2024年08月14日 15:00:32

    傳遞綠色動力,引領綠色出行!綠傳科技邀您參加2024深圳eVTOL展

    航空、城市低空物流,并討論eVTOL的整機研發、設計、制造、適航取證、eVTOL動力、航電、材料等內容。
    的頭像 發表于 08-10 09:51 ?517次閱讀

    MF2200北亞手機取證設備#手機取證

    行業資訊
    Frombyte
    發布于 :2024年08月06日 14:56:31

    MF2200北亞手機取證系統#手機取證

    行業芯事行業資訊
    Frombyte
    發布于 :2024年07月30日 13:58:38

    MF2200北亞手機取證產品

    行業資訊
    Frombyte
    發布于 :2024年07月25日 17:45:09

    北亞FB-C7500數據庫取證分析系統#數據庫取證

    數據庫
    Frombyte
    發布于 :2024年07月08日 14:26:31

    北亞FB-C6700監控視頻分析恢復系統#視頻監控取證

    視頻監控
    Frombyte
    發布于 :2024年06月26日 09:14:15

    北亞FCDA電子取證能力訓練系統#手機取證

    行業芯事行業資訊
    Frombyte
    發布于 :2024年06月21日 11:10:22

    arduino ide開發esp32 CAM模組HTTPS無法正確讀取證書怎么解決?

    我使用arduino ide開發esp23-CAM,其CPU為esp32-s2,利用http協議將圖片傳給百度智能云,但我發現不能實現網頁證書的鑒定,即使我已經下載了證書并嵌入代碼,而且還不能跳過,因為跳過的配置需要在esp-idf,我認為這種設計極為不便,希望有技術支持?以下是部分代碼 const char* root_ca ="-----BEGIN CERTIFICATE-----n""MIIJ6DCCCNCgAwIBAgIMVeasrtH4pDD5qTjFMA0GCSqGSIb3DQEBCwUAMFAxCzAJn""BgNVBAYTAkJFMRkwFwYDVQQKExBHbG9iYWxTaWduIG52LXNhMSYwJAYDVQQDEx1Hn""bG9iYWxTaWduIFJTQSBPViBTU0wgQ0EgMjAxODAeFw0yMzA3MDYwMTUxMDZaFw0yn""NDA4MDYwMTUxMDVaMIGAMQswCQYDVQQGEwJDTjEQMA4GA1UECBMHYmVpamluZzEQn""MA4GA1UEBxMHYmVpamluZzE5MDcGA1UEChMwQmVpamluZyBCYWlkdSBOZXRjb20gn""U2NpZW5jZSBUZWNobm9sb2d5IENvLiwgTHRkMRIwEAYDVQQDEwliYWlkdS5jb20wn""ggEiMA0GCSqGSIb3DQEBAQUAA4IBDwAwggEKAoIBAQC7BLuEdlgHtFqIVOBqVrzln""1I0+Hrko4NcBjzgrQbJZffCsJ7QmJBQ4/kzqO0lR9+lbQPc/psjaDwJuJYtHkbgun""ngAhGR0YAPzeBP0meTld8pC8gJ2ofLKRiYnYQC/l0qfzXm1IK8UfCrHgjox2/7zRn""ZwrSSdYJ7iYDAvPMzeqK1TGoLY8D/V785DrGiWeZTM6YbfqEDQ5Ti+ZjUsWbSqmrn""oyI1mQ3uGf+bLfWkd/LsEID0q4K50X42Hw6fmxmg9cNX3Yi7zuGQnD9Lut06qUGzn""3YZNwsK36P83E8AEiUNEOBHmo5b3CSIhLyxODn7l2Fy7AERbr97ks7DwPLY4RUldn""AgMBAAGjggaPMIIGizAOBgNVHQ8BAf8EBAMCBaAwgY4GCCsGAQUFBwEBBIGBMH8wn""RAYIKwYBBQUHMAKGOGh0dHA6Ly9zZWN1cmUuZ2xvYmFsc2lnbi5jb20vY2FjZXJ0n""L2dzcnNhb3Zzc2xjYTIwMTguY3J0MDcGCCsGAQUFBzABhitodHRwOi8vb2NzcC5nn""bG9iYWxzaWduLmNvbS9nc3JzYW92c3NsY2EyMDE4MFYGA1UdIARPME0wQQYJKwYBn""BAGgMgEUMDQwMgYIKwYBBQUHAgEWJmh0dHBzOi8vd3d3Lmdsb2JhbHNpZ24uY29tn""L3JlcG9zaXRvcnkvMAgGBmeBDAECAjAJBgNVHRMEAjAAMD8GA1UdHwQ4MDYwNKAyn""oDCGLmh0dHA6Ly9jcmwuZ2xvYmFsc2lnbi5jb20vZ3Nyc2FvdnNzbGNhMjAxOC5jn""cmwwggNhBgNVHREEggNYMIIDVIIJYmFpZHUuY29tggxiYWlmdWJhby5jb22CDHd3n""dy5iYWlkdS5jboIQd3d3LmJhaWR1LmNvbS5jboIPbWN0LnkubnVvbWkuY29tggthn""cG9sbG8uYXV0b4IGZHd6LmNuggsqLmJhaWR1LmNvbYIOKi5iYWlmdWJhby5jb22Cn""ESouYmFpZHVzdGF0aWMuY29tgg4qLmJkc3RhdGljLmNvbYILKi5iZGltZy5jb22Cn""DCouaGFvMTIzLmNvbYILKi5udW9taS5jb22CDSouY2h1YW5rZS5jb22CDSoudHJ1n""c3Rnby5jb22CDyouYmNlLmJhaWR1LmNvbYIQKi5leXVuLmJhaWR1LmNvbYIPKi5tn""YXAuYmFpZHUuY29tgg8qLm1iZC5iYWlkdS5jb22CESouZmFueWkuYmFpZHUuY29tn""gg4qLmJhaWR1YmNlLmNvbYIMKi5taXBjZG4uY29tghAqLm5ld3MuYmFpZHUuY29tn""gg4qLmJhaWR1cGNzLmNvbYIMKi5haXBhZ2UuY29tggsqLmFpcGFnZS5jboINKi5in""Y2Vob3N0LmNvbYIQKi5zYWZlLmJhaWR1LmNvbYIOKi5pbS5iYWlkdS5jb22CEioun""YmFpZHVjb250ZW50LmNvbYILKi5kbG5lbC5jb22CCyouZGxuZWwub3JnghIqLmR1n""ZXJvcy5iYWlkdS5jb22CDiouc3UuYmFpZHUuY29tgggqLjkxLmNvbYISKi5oYW8xn""MjMuYmFpZHUuY29tgg0qLmFwb2xsby5hdXRvghIqLnh1ZXNodUJhaWR1LmNvbYISn""YmouYmFpZHViY2UuY29tghEqLmd6LmJhaWR1YmNlLmNvbYIOKi5zbWFydGFwcHMun""Y26CDSouYmR0anJjdi5jb22CDCouaGFvMjIyLmNvbYIMKi5oYW9rYW4uY29tgg8qn""LnBhZS5iYWlkdS5jb22CESoudmQuYmRzdGF0aWMuY29tghEqLmNsb3VkLmJhaWR1n""LmNvbYISY2xpY2suaG0uYmFpZHUuY29tghBsb2cuaG0uYmFpZHUuY29tghBjn""bS5wb3MuYmFpZHUuY29tghB3bi5wb3MuYmFpZHUuY29tghR1cGRhdGUucGFuLmJhn""aWR1LmNvbTAdBgNVHSUEFjAUBggrBgEFBQcDAQYIKwYBBQUHAwIwHwYDVR0jBBgwn""FoAU+O9/8s14Z6jeb48kjYjxhwMCs+swHQYDVR0OBBYEFO1zq/kgvnoZn1kfsp/yn""Py8/kYQSMIIBfgYKKwYBBAHWeQIEAgSCAW4EggFqAWgAdgBIsONr2qZHNA/lagL6n""nTDrHFIBy1bdLIHZu7+rOdiEcwAAAYko5XABAAAEAwBHMEUCIQDtGvRfSswr/1ffn""5bjL+SRct34Ue6PaRsDYvGhpiYejgwIgX/aCg9Og5EZbVLo+ZsrU9s3IJusYzZYjn""ASJszEzwZ1oAdwDuzdBk1dsazsVct520zROiModGfLzs3sNRSFlGcR+1mwAAAYkon""5XAdAAAEAwBIMEYCIQC9HcMYKn54HivSbhH0wuWtwTaHYtuIvJD8IhPF+zJ9/gIhn""AICMnoiGocc6FGIMIYmMd7p7JJSXMZCpFXSibCwzg1ItAHUA2ra/az+1tiKfm8K7n""XGvocJFxbLtRhIU0vaQ9MEjX+6sAAAGJKOVtVwAABAMARjBEAiBUbWpp6uCjWPkXn""1a3kdzajezONw5Uwdn7l+xypjE6bdwIgG2GK8pH+5UqZTTKxNyqCRoiJDX7rAXzxn""O22aIRkkBcAwDQYJKoZIhvcNAQELBQADggEBABlaZ1BDsax6k6hoGHKLQH6mdd6sn""IfzJQRYgS/OMC7lHRa74XXn2QzUmAZjwuYY+KQHx37Byta540t9htnhnisl3mt7gn""5EEvnB7lO3yXP0IvreNJf50rAoiQaSUDARS5tcsPWT0tlz0C1VGQaQyBECLaxlHvn""SAzST95h8mqHFaVtcY43AqKFDx4ZdaOALmoaogKML+y9PYEDP4rAoOa0DghXywAcn""ircbjzhxmo3AcQw/vNS+Vp33GMGqvuTfGobiYm8jhjBUeC1HH7StBSlzJJgUoBnAn""Av2QkE5iXOhNMYnD6Iuec1k7mJHKR6UFW8Uej4U5Ds61JgqATp8IShFJE2M=n""-----END CERTIFICATE-----n";esp_err_t _http_event_handler(esp_http_client_event_t* evt) { if (evt-&gt;event_id == HTTP_EVENT_ON_DATA) {httpResponseString.concat((char*)evt-&gt;data); } return ESP_OK;}String recognizeImage(String image) { httpResponseString = ""; esp_http_client_handle_t http_client; esp_http_client_config_t config_client = { 0 };config_client.url = post_url; config_client.event_handler = _http_event_handler; config_client.auth_type = HTTP_AUTH_TYPE_NONE; config_client.cert_pem =root_ca; config_client.client_cert_len= strlen(root_ca)+1; config_client.skip_cert_common_name_check = true; config_client.buffer_size_tx =313000; config_client.transport_type = HTTP_TRANSPORT_OVER_TCP; config_client.method = HTTP_METHOD_POST;
    發表于 06-06 07:39

    中國飛行汽車瘋了,歐洲技術都賣給中國

    行業芯事行業資訊
    電子發燒友網官方
    發布于 :2024年04月08日 13:53:14

    Q22M平板終端+美格模塊,性能均衡的大

    美格智能作為全球領先的無線通信模組及解決方案提供商,擁有多年的定制模組開發經驗,與下游客戶關系緊密,模組廠商合作關系穩固。產品線豐富,擁有業內首家推出 5G 智能模組產品和完整的智能模組產品序列,實力可謂雄厚。億道信息看重其穩定的供應鏈與完善的生態圈,將美格模組與加固終端強強聯手,打造出滿足工業互聯網多場景應用的智慧平板。
    的頭像 發表于 02-05 10:32 ?387次閱讀
    主站蜘蛛池模板: 一边吃奶一边啪啪真舒服 | 手机在线观看mv网址 | 用快播看av的网站 | 办公室里做好紧好爽H | 99re8在线视频精品 | 狠狠色狠色综合曰曰 | 亚洲免费人成 久久 | 阿娇和冠希13分钟在线观看 | 日本伦理片 中文字幕 | 手机在线免费看毛片 | 伊人网中文字幕 | 色综合久久88一加勒比 | 草久热的视频在线观看 | 亚洲一级毛片免费在线观看 | 小草高清视频免费直播 | 国产成人小视频在线观看 | 一边捏奶头一边啪高潮会怎么样 | 午夜精品久久久久久久爽牛战 | 亚洲 色 欧美 爱 视频 日韩 | 国产99久久亚洲综合精品西瓜tv | 亚洲午夜无码久久久久蜜臀av | 亲胸揉胸膜下刺激视频在线观看 | 夜夜穞狠狠穞 | 国产AV亚洲国产AV麻豆 | 蜜桃成熟时2在线观看完整版hd | 国产精品人妻无码久久久蜜桃 | 妻子的秘密HD观看 | 97影院理论午夜伦不卡偷 | 最近2019中文字幕免费版视频 | 九九精品在线播放 | 在线观看永久免费网址 | 亚洲黄色在线观看 | 99热婷婷国产精品综合 | 色多多污污在线播放免费 | a视频在线观看 | 午理论理影片被窝 | 亚洲人视频在线 | 97免费在线视频 | 啊轻点灬大JI巴又大又粗 | 国产白丝JK被疯狂输出视频 | X8X8拨牐拨牐X8免费视频8午夜 |