ctf 内存取证的一些命令

最新推荐文章于 2025-09-10 10:14:43 发布

原创最新推荐文章于 2025-09-10 10:14:43 发布 · 9k 阅读

48 ·

CC 4.0 BY-SA版权

文章标签：

#ctf内存取证相关命令

ctf 专栏收录该内容

3 篇文章

订阅专栏

本文介绍了如何在CTF比赛中通过内存取证来寻找关键信息。利用Kali Linux中的Volatility工具，以men.raw文件为例，展示了如何查看系统信息、运行程序列表、查找特定文件、提取文件、查看CMD执行的文件以及获取网络连接和账户密码等操作。在实践中，通过grep过滤找到txt文件，使用Volatility提取进程中的文件，并利用foremost进一步解析流量包以寻找flag。

内存取证

相当于给出镜像文件，一般为.raw文件，在这些文件中找出相应的文件

常用命令
在kali下用工具volatility，以湖湘杯的文件men.raw为例

查看系统信息
volatility -f mem.raw imageinfo

如下显示的系统都有可能，可以一个个的试试
查看运行程序列表
volatility -f mem.raw --profile=Win7SP1x64 pslist
查看文件
volatility -f mem.raw --profile=Win7SP1x64 filescan

一般文件会很多，不易查看，用grep命令过滤
volatility -f mem.raw --profile=Win7SP1x64 filescan |grep txt

这里显示出了txt文件，下面将他们分离出来
提取文件
volatility -f mem.raw --profile=Win7SP1x64 dumpfiles -Q 0x000000001e7c3420 -D aaa
-Q是偏移量，-D是存储的文件夹
查看cmd下执行的文件
volatility -f mem.raw --profile=Win7SP1x64 cmdscan

可以看到，flag已经被找到，不过出题人并没有将flag放在一个文件里,只是个文件名，若是放在某个文件里，会加大我们的难度
分离出cmd下执行的某个文件
volatility -f mem.raw --profile=Win7SP1x64 memdump -p 2884 -D aaa
-p是进程号，flag的文件在进程号为2884，分离出的文件为流量包

好像用wireshark打不开，可以直接foremost一波，得到文件
提取账户密码
volatility -f mem.raw --profile=Win7SP0x64 hashpump
查看网络连接
volatility -f mem.raw --profile=Win7SP1x64 netscan

查看已经建立的网络连接
volatility -f mem.raw --profile=Win7SP1x64 netscan|grep ESTABLISHED