取證分析 | Volatility工具使用

聲明：本人堅決反對利用文章內容進行惡意攻擊行為，一切錯誤行為必將受到懲罰，綠色網絡需要靠我們共同維護，推薦大家在了解技術原理的前提下，更好的維護個人信息安全、企業安全、國家安全。

Volatility是一款開源的內存取證分析工具，支持Windows，Linux，MaC，Android等多類型作業系統系統的內存取證方式。該工具是由python開發的，目前支持python2、python3環境。接下來小編將帶領大家學習Volatility工具的安裝及使用。

工具下載地址：https://github.com/volatilityfoundation

2.Volatility安裝方式

目前作者已公布了兩個版本的Volatility，Volatility2是基於py2環境，Volatility3是基於py3環境，接下來小編將帶領大家分別對這兩個環境進行安裝。

（1）Volatility3環境的安裝

首先請確保系統中已安裝python3環境，安裝pycrypto庫函數

進入到Volatility目錄，執行如下指令，即可將Volatility成功安裝

>>> sudo python3 setup.py install
此時，就成功安裝了Volatility3工具，可以執行如下指令查看是否安裝是成功
>>> sudo python3 vol.py -h
（2）Volatility2環境的安裝
首先請確保系統中已安裝python2環境，安裝pycrypto庫函數
首先通過網站下載pycrypto安裝包：https://ftp.dlitz.net/pub/dlitz/crypto/pycrypto/
注意：如果遇到報錯可嘗試執行如下命令，解決問題：
>>> sudo apt-get install python-dev>>> sudo pip install setuptools進入到Volatility目錄，執行如下指令，即可將Volatility成功安裝>>> sudo python2 setup.py install
此時，就成功安裝了Volatility2工具，可以執行如下指令查看是否安裝是成功
>>> sudo python2 vol.py -h
3.Volatility使用方式
   Volatility2的使用方法
(1) 獲取系統基本信息
>>>python2 vol.py -f ../Target.vmem imageinfo
(2) 列出進程信息
>>> python2 vol.py -f ../Target.vmem --profile=Win7SP1x64 pslist
(3) 提取某進程文件內容
>>> python2 vol.py -f ../Target.vmem --profile=Win7SP1x64 memdump -p 516 -D /
(4) 查看文件目錄
>>> python2 vol.py -f ../Target.vmem --profile=Win7SP1x64 filescan
(5) 提取某文件內容
>>>python2 vol.py -f ../Target.vmem --profile=Win7SP1x64 dumpfiles -Q 0x000000007fe72430 --dump-dir=./
(6) 調用mimikatz抓取系統口令
>>> python2 vol.py -f ../Target.vmem --profile=Win7SP1x64 mimikatz
  Volatility3的使用方法
(1) 獲取系統基本信息
>>>sudo python3 vol.py -f ../Target.vmem windows.info
(2) 列出進程信息
(3) 提取某進程文件內容
>>>sudo python3 vol.py -f /opt/forensic-analysis/Target.vmem windows.pslist --pid 516 --dump
(4) 查看文件目錄
(5) 提取某文件內容(此功能存在問題，待進一步解決！)
【推薦書籍】