Volatility-內存取證工具使用(1)

1、部署安裝1.安裝Volatility1.安裝標準包1.下載地址

https://www.volatilityfoundation.org/releases
2.配置安裝目錄
unzip -d /usr/local/volatility volatility_2.6_lin64_standalone.zip
cd /usr/local/volatility
mv volatility_2.6_lin64_standalone volatility
3.配置環境變量
配置完畢後需要重新退出登錄即可
vim /etc/profile

# 添加如下內容
export PATH=/usr/local/volatility:$PATH
2.Centos安裝1.使用git進行克隆
git clone https://github.com/volatilityfoundation/volatility
cd volatility
2.安裝依賴包
yum install python-devel gcc cmake
3.安裝Python2依賴
wget https://bootstrap.pypa.io/pip/2.7/get-pip.py
python get-pip.py
pip2 install --upgrade pip
pip2 install setuptools
pip2 install distorm3
pip2 install yara
pip2 install pycrypto
pip2 install pil
pip2 install openpyxl
pip2 install ujson
4.安裝軟體
python setup.py install
5.安裝mimikatz插件
git clone https://github.com/ruokeqx/tool-for-CTF.git
cd tool-for-CTF
cp volatility_plugins/*.py /usr/lib/python2.7/site-packages/volatility-2.6.1-py2.7.egg/volatility/plugins
pip2 install construct
2、測試實例1.獲取admin密碼
內存鏡像下載地址：https://www.aliyundrive.com/s/oyD9Pyk9us9
1.獲取鏡像版本信息
vol.py -f worldskills3.vmem --profile=Win7SP1x64 imageinfo
2.獲取SAM信息
vol.py -f worldskills3.vmem --profile=Win7SP1x64 hashdump
3.使用lasdump獲取信息
查看到flag信息
vol.py -f worldskills3.vmem --profile=Win7SP1x64 lsadump
4.使用mimikatz獲取密碼
vol.py -f worldskills3.vmem --profile=Win7SP1x64 mimikatz
2.獲取IP和主機名1.通過使用netscan查詢IP位址
vol.py -f worldskills3.vmem --profile=Win7SP1x64 netscan
獲取IP位址為：192.168.85.129
2.查詢註冊表信息
vol.py -f worldskills3.vmem --profile=Win7SP1x64 hivelist
3.查詢鍵名
通過hivedump查詢對應鍵名,該速度非常慢，需要等待。
vol.py -f worldskills3.vmem --profile=Win7SP1x64 hivedump -o 0xfffff8a000024010 | grep ComputerName
4.查詢主機名
vol.py -f worldskills3.vmem --profile=Win7SP1x64 printkey -K "ControlSet001\Control\ComputerName\ComputerName"
3.獲取桌面上的flag.txt文件內容1.使用filescan掃描文件
vol.py -f worldskills3.vmem --profile=Win7SP1x64 filescan | grep "flag.txt"
2.爆破文件內容
vol.py -f worldskills3.vmem --profile=Win7SP1x64 dumpfiles -Q 0x000000007f1b6c10 --dump-dir=./
cat file.None.0xfffffa801a879510.dat
4.查看伺服器挖礦地址1.查看網絡連接
vol.py -f worldskills3.vmem --profile=Win7SP1x64 netscan | grep ESTABLISHED
查看已經建立連結的地址為：54.36.109.161，進程ID為：2588
2.查看挖礦服務
vol.py -f worldskills3.vmem --profile=Win7SP1x64 pslist | grep 2588
查看挖礦服務為svchost.exe，查看父進程為3036
3.查看挖礦服務的父進程
vol.py -f worldskills3.vmem --profile=Win7SP1x64 svcscan
4.查看父進程信息
vol.py -f worldskills3.vmem --profile=Win7SP1x64 pslist | grep 3036
5.病毒自我刪除時執行的命令
vol.py -f worldskills3.vmem --profile=Win7SP1x64 memdump -p 3036 --dump-dir=./
提取PID為3036的進程進行導出
6.提權文件
使用hexeditor 對dump文件以16進位方式查看
hexeditor /opt/test/3036.dmp
5.其他1.查看系統用戶列表
vol.py -f worldskills3.vmem --profile=Win7SP1x64 printkey -K "SAM\Domains\Account\Users\Names"
2.查看最後登錄的用戶
vol.py -f worldskills3.vmem --profile=Win7SP1x64 printkey -K "SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon"
3.查詢CMD歷史命令
vol.py -f worldskills3.vmem --profile=Win7SP1x64 cmdscan
4.查看IE瀏覽器歷史
vol.py -f worldskills3.vmem --profile=Win7SP1x64 iehistory
5.查看父進程和子進程關係
vol.py -f worldskills3.vmem --profile=Win7SP1x64 pstree