数据取证工具MemProcFS

原创 已于 2023-12-13 14:23:15 修改 · 5k 阅读 · 22 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#安全

于 2023-12-12 16:16:29 首次发布
MemProcFS是一种简便的方法，将物理内存视为虚拟文件系统中的文件，用于自动化Windows内存转储的DFIR分析。它可以访问内存内容、进程信息、系统配置等，并支持取证模式和详细命令行选项。

MemProcFS 是一种将物理内存视为虚拟文件系统中的文件的简便方法。简单的点击内存分析，无需复杂的命令行参数！通过安装的虚拟文件系统中的文件或通过功能丰富的应用程序库访问内存内容和工件以包含在您自己的项目中。

链接GitHub - ufrisk/MemProcFS: MemProcFS

 下载下来以后直接使用

 发现有了一个M盘，翻了翻也看不太懂都有啥

 

 后来发现一个工具GitHub - cephurs/MemProcFS-Analyzer: MemProcFS-Analyzer - Automated Forensic Analysis of Windows Memory Dumps for DFIR

下载下来直接powershell：

以管理员身份启动 Windows PowerShell（或 Windows PowerShell ISE 或带 PSVersion 的 Visual Studio Code：5.1）并打开/运行 MemProcFS-Analyzer.ps1。

刚开始会运行不了，因为windows权限限制，参考https://blog.youkuaiyun.com/Ximerr/article/details/123498701

提示连不上网[Error] github.com is NOT reachable. Please check your network connection and try again.，使用代理：

 

最低0.47元/天 解锁文章
耳语吖
关注
实现读取procfs信息的案例及源代码
2301_79331328的博客
10-17 408
在Linux系统中，procfs是一种虚拟文件系统，用于提供关于内核、进程和系统状态的信息。通过读取procfs中的文件，我们可以获取有关系统运行状态的详细信息。本文将展示一个示例程序，演示如何使用C语言编写代码来读取procfs中的信息。这是一个简单的实现读取procfs信息的案例。通过使用C语言的文件操作函数，我们可以轻松地读取procfs中的内容并进行进一步的处理。函数来读取procfs中的文件。你也可以尝试读取其他procfs中的文件，例如。函数逐行读取文件内容，并使用。文件的内容被打印出来。
信息安全 之 取证的艺术：通过 Shellbags 追踪用户足迹
zgz67611的博客
09-02 639
本文介绍了Windows注册表中的Shellbags取证工具及其在数字调查中的重要作用。Shellbags记录了用户访问文件夹的路径、视图设置和时间戳等元数据，即使文件夹被删除也能保留证据。文章详细解析了Shellbags的存储位置（注册表键和配置单元文件）、分析工具（如ShellbagsExplorer），并展示了如何通过这些工具恢复已删除文件夹的访问痕迹。同时指出其局限性（不记录文件级操作）以及需要结合其他取证工具（如$MFT、Prefetch等）才能构建完整证据链。文章还强调Shellbags仅适用于
volatility内存取证工具比较测试：10款主流工具横向评测
最新发布
gitblog_00779的博客
09-14 1098
在当今数字化时代，网络安全事件频发，内存取证作为计算机安全事件调查的关键环节，其重要性日益凸显。然而，面对众多的内存取证工具，安全分析师往往面临选择困难：哪款工具支持的操作系统版本最全面？哪款工具在内存数据提取速度上表现更优？哪款工具的易用性更好，适合不同层次的用户使用？ 本文将对10款主流的内存取证工具进行横向评测，通过深入的功能分析、性能测试和易用性评估，为安全分析师提供一份专业、全面的工具...
内存处理文件系统-C/C++开发
05-26
内存进程文件系统：内存进程文件系统（MemProcFS）是一种将虚拟内存作为文件访问虚拟文件系统的简便方法。 无需存储即可轻松地进行简单的单击和单击内存分析内存进程文件系统：内存进程文件系统（MemProcFS）是一种将虚拟内存作为文件访问虚拟文件系统的简便方法。 简单的简单的点击记忆分析，无需复杂的命令行参数！ 通过已挂载的虚拟文件系统中的文件或功能丰富的应用程序库访问内存内容和工件，以包含在您自己的项目中！ 分析内存转储文件，通过DumpIt或WinPMEM的实时内存，实时内存
通过内存取证检测代码注入行为（Part 1）
Doris78的博客
03-28 1206
代码注入是最危险的恶意软件技术之一，但只要使用正确的工具和方法，就能检测并阻止这些攻击。通过利用Volatility、MemProcFS和实时内存扫描等取证工具，安全团队可以在可疑活动升级为全面入侵之前将其识别出来。
MemProcFS 使用教程
gitblog_00681的博客
08-10 967
MemProcFS 是一个开源的内存分析工具，它允许用户以虚拟文件系统的方式查看物理内存。通过将内存内容和工件作为文件暴露，MemProcFS 简化了内存分析过程，无需复杂的命令行参数。该项目支持多种编程语言的 API，包括 C/C++、C#、Java、Python 和 Rust，使得开发者可以轻松地将内存分析功能集成到自己的项目中。 ## 项目快速启动 ### 安装依赖 在 Linux 上...
【免费下载】 MemProcFS 使用教程
gitblog_01090的博客
08-10 1192
MemProcFS 是一个用于内存分析的开源项目，它将物理内存视作虚拟文件系统中的文件，便于用户进行内存分析。以下是项目的目录结构及各部分介绍： ``` MemProcFS/ ├── LICENSE ├── README.md ├── MemProcFS.sln ├── vmm.dll ├── vmm_example │ ├── vmm_example.c │ └── vmm_examp...
MemProcFS实战：掌握5大技巧深入解密Windows内存映射文件
- 教会利用技术视角发现数据中的隐藏信息：强调在CTF-Misc（Miscellaneous）领域中，如何使用各种工具和技术来发现数据中的隐藏信息或彩蛋。 6. 注意事项： - 所有技术仅用于学习与竞赛：明确提醒读者，本文档...
网络安全 之 取证的艺术：通过 Shellbags 追踪用户足迹
zkaqlaoniao的博客
09-02 624
文章摘要： Shellbags是Windows系统中记录文件夹访问行为的重要注册表项，存储于HKEY_CURRENT_USER和用户配置单元中。即使文件夹被删除，这些包含路径、视图设置和时间戳的记录仍会保留，成为数字取证(DFIR)调查的关键证据。文章通过Shellbags Explorer工具分析，展示了如何恢复已删除文件夹的访问痕迹，包括网络驱动器和外接设备记录。但需注意其局限性：仅记录资源管理器操作，不包含命令行访问，且应结合MFT、Prefetch等其他取证数据综合分析。这些特性使Shellbags
内存镜像分析出bitlocker密钥
03-19
提取密钥后，使用取证工具解密磁盘： - **取证大师**：导入VMK密钥或恢复密钥直接解密BitLocker加密的磁盘镜像。 - **Dislocker**（开源工具）： ```bash dislocker -V /dev/sda1 -p recovery_key.txt -- ...
MemProcFS:内存处理文件系统
03-11
内存进程文件系统： 内存进程文件系统（MemProcFS）是一种将虚拟内存作为虚拟文件系统中的文件查看的简便方法。 简单的简单的点击记忆分析，无需复杂的命令行参数！ 通过已挂载的虚拟文件系统中的文件或功能丰富的应用程序库访问内存内容和工件，以包含在您自己的项目中！ 分析内存转储文件，通过DumpIt或WinPMEM分析实时内存，通过链接的和设备以读写模式分析实时内存！ 甚至有可能通过安全连接连接到远程LeechAgent内存获取代理-允许远程实时内存事件响应-甚至在更高延迟的低带宽连接上也是如此！ 使用窥视Hyper-V虚拟机！ 使用您喜欢的工具来分析内存-使用您喜欢的十六进制编辑器，python和powershell脚本，WinDbg或您喜欢的反汇编程序和调试器-只需读写文件，所有这些都可以与MemProcFS共同使用！ 在您的Python或C / C ++编程项目中包括Me
MemProcFS实战指南：解密Windows内存映射文件的5种高级技巧.pdf
06-24
文档支持目录章节跳转同时还支持阅读器左侧大纲显示和章节快速定位，文档内容完整、条理清晰。文档内所有文字、图表、函数、目录等元素均显示正常，无任何异常情况，敬请您放心查阅与使用。文档仅供学习参考，请勿用作商业用途。 从隐写术到编码转换，从音频隐写到文件结构分析，CTF-Misc 教会你用技术的眼睛发现数据中的「彩蛋」。掌握 Stegsolve、CyberChef、Audacity 等工具，合法破解摩斯密码、二维码、LSB 隐写，在虚拟战场中提升网络安全意识与技术能力。记住：所有技术仅用于学习与竞赛！
好用的内存读取工具CE
12-05
好用的内存读取工具CE,非常强大,操作系统,游戏外挂必备
5 个免费的数字取证工具可促进您的调查
网络研究观
02-19 5814
数字取证在分析和解决网络攻击方面发挥着至关重要的作用，也是事件响应的关键组成部分
MemProcFS内存处理文件系统：简化内存分析，提升开发效率
gitblog_06707的博客
05-27 890
MemProcFS内存处理文件系统：简化内存分析，提升开发效率 【下载地址】MemProcFS内存处理文件系统 MemProcFS是一款创新的内存处理文件系统，能够将虚拟内存以文件形式呈现，简化内存分析流程。无需复杂命令，用户可通过虚拟文件系统或应用程序库直接访问内存内容和数据。支持分析内存转储文件、实时内存，并通过安全...
数据取证常用三大软件
Yale的博客
05-26 7309
文件恢复、数据提取的相关技术及应用、熟练掌握三款相关开源工具foremost、scalpel、bulk_exetractor的使用。 关于foremost Foremost是基于文件开始格式，文件结束标志和内部数据结构进行恢复文件的程序 Foremost参数说明 $ foremost [-v|-V|-h|-T|-Q|-q|-a|-w-d] [-t ] [-s ] [-k ] [-b ] [-c ...
一文读懂电子数据取证
Button12138的博客
03-15 8816
在网络安全大环境中，信息安全可以看作是解决事前防御问题，电子取证则是解决事后究责问题。
【亲测免费】 探秘内存取证：MemProcFS-Analyzer的强大工具箱
gitblog_00060的博客
05-24 737
探秘内存取证：MemProcFS-Analyzer的强大工具箱 在数字取证和安全分析的世界中，内存取证扮演着至关重要的角色。MemProcFS-Analyzer是一个由PowerShell编写的强大脚本，旨在简化内存分析工作流程，使这个复杂的过程变得快速且容易。它整合了多种工具和技术，为分析师提供了全面的内存分析解决方案。 项目简介 MemProcFS-Analyzer基于Ulf Frisk开发的...
FTK Imager v4.5.0.3：多功能数据恢复与取证分析工具
FTK Imager v4.5.0.3 是由 AccessData 公司开发的一款专业级数字取证与数据恢复工具，广泛应用于电子数据取证、网络安全调查、司法鉴定以及信息系统审计等多个领域。该版本作为当前较为稳定和功能全面的更新版本之一...
评论 3
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值