计算机取证volatility

本是古典何须时尚 2022-01-06 10:35 305阅读 0赞

带有恶意软件的内存镜像下载：[https://github.com/volatilityfoundation/volatility/wiki/Memory-Samples][https_github.com_volatilityfoundation_volatility_wiki_Memory-Samples]

DumpIt v1.3.2：[https://qpdownload.com/dumpit/][https_qpdownload.com_dumpit]

一、volatility v2.6

1.使用内存镜像转储工具dumpit生成内存镜像文件（.raw）或者使用虚拟机快照文件（.vmem）

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_35_color_FFFFFF_t_70][]

2.使用imageinfo 插件获取内存镜像信息，如操作系统版本、CPU等信息。

可使用-h参数查看volatility的命令选项和支持的插件。一般使用格式：

volatility -f [image] --profile=[profile]  [plugin]

如下图，插件所在目录：/usr/lib/python2.7/dist-packages/volatility/plugins

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_35_color_FFFFFF_t_70 1][]

volatility -f WIN7.raw imageinfo

\-f:指定内存镜像文件名

imageinfo:用于识别待分析的内存镜像信息

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_35_color_FFFFFF_t_70 2][]

判断完镜像后，使用--profile指定操作系统版本

3、使用netscan插件查看网络连接状态

注：不同的操作系统使用的插件可能不同

volatility -f WIN7.raw --profile=Win7SP1x64 netscan

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_35_color_FFFFFF_t_70 3][]

4.查看正在运行的进程

volatility -f WIN7.raw --profile=Win7SP1x64 pstree

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70][]

5.使用cmdscan提取出内存中保留的cmd命令使用情况：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_35_color_FFFFFF_t_70 4][]

6.svcscan:该插件可查看在内存镜像上注册了哪些服务

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 1][]![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_30_color_FFFFFF_t_70][]

7.使用iehistory插件获取IE浏览器的缓存和历时，可查询到用户的访问连接和重定向链接等等。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_35_color_FFFFFF_t_70 5][]

8.userassist：可查看系统中已安装程序执行的次数和最后一次运行的时间

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 2][]![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_35_color_FFFFFF_t_70 6][]

9.hivelist:打印输出注册表蜂巢的列表，包括注册表的虚拟地址以及各个注册表项的完整路径。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 3][]

hivedump:打印输出指定注册表项的所有子项

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_35_color_FFFFFF_t_70 7][]

printkey：打印输出指定注册表项下的所有子键及其键值 "SAM\\Domains\\Account\\Users\\Names"

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_35_color_FFFFFF_t_70 8][]

"SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon"查看最后登录系统的用户，其中Last updated指的是该用户信息最后被修改的时间而不是最后的登录时间。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_35_color_FFFFFF_t_70 9][]

10.若想全方位地将内存中的信息提取出来，可以使用 timeliner插件，它会从多个位置来收集系统的活动信息，包括System time、IEHistory、Process、DLL等等。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 4][]

11.恶意代码：malfind查找恶意代码

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_40_color_FFFFFF_t_70][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_40_color_FFFFFF_t_70 1][]

[https_github.com_volatilityfoundation_volatility_wiki_Memory-Samples]: https://github.com/volatilityfoundation/volatility/wiki/Memory-Samples
[https_qpdownload.com_dumpit]: https://qpdownload.com/dumpit/
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_35_color_FFFFFF_t_70]: /images/20211227/014cc4b1f0a44cad8a205a30c9e64a11.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_35_color_FFFFFF_t_70 1]: /images/20211227/48264dc8d0354717bf7443fc59b54a5a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_35_color_FFFFFF_t_70 2]: /images/20211227/3addea3a6c12472faac29ac896739070.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_35_color_FFFFFF_t_70 3]: /images/20211227/f67c7728f45f43fcb62e9962124fe156.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70]: /images/20211227/10250f77abe2491cb00ac88e0592eb67.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_35_color_FFFFFF_t_70 4]: /images/20211227/61a7f21c0b6545e29e1edbb38ca27c5a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 1]: https://img-blog.csdnimg.cn/2019062520302955.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28=,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_30_color_FFFFFF_t_70]: /images/20211227/8741b323303b48e2b3e3bad6824679b1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_35_color_FFFFFF_t_70 5]: /images/20211227/4135d91feb6547159e996a2e7d189bf9.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 2]: https://img-blog.csdnimg.cn/20190625210407673.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28=,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_35_color_FFFFFF_t_70 6]: /images/20211227/a96b98c6480c40678b1aa6d7f687e15c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 3]: /images/20211227/644bcd270aa343b3a0b26b14b237ea3f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_35_color_FFFFFF_t_70 7]: /images/20211227/316ba88f397e4ad1b779b41c3d934803.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_35_color_FFFFFF_t_70 8]: /images/20211227/990212ccfc75460f816d335c6f707729.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_35_color_FFFFFF_t_70 9]: /images/20211227/384002db3fab47d6beca89d9b4e4c592.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 4]: /images/20211227/02cd56b3f22146e99412f74f91bf8a95.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_40_color_FFFFFF_t_70]: /images/20211227/0ff595f26bfd483a99c2392e8c935184.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_40_color_FFFFFF_t_70 1]: /images/20211227/98dec651721448c1a78bb6940148fa60.png