15、内存取证与数字取证分析工具使用指南

内存取证与数字取证分析工具使用指南

1. Volatility 3 进行内存转储分析

1.1 Volatility 3 简介

相较于之前的版本，Volatility 3 在插件方面有所不同，且插件运行速度更快。使用 Volatility 3 进行内存转储分析时，在进入 Volatility 目录后，使用插件的命令除插件名称外基本相同，语法如下：

python3 -f (dump name) (OS.plugin)

其中， -f 指定转储文件的名称， OS.plugin 是要针对内存转储运行的插件。

1.2 镜像和操作系统验证

虽然在 Volatility 3 中不再强制要求，但识别创建内存转储的设备的操作系统版本很有用，以确保使用正确的插件。可以使用 info 插件来确定系统运行的操作系统：

python3 vol.py -f cridex.vmem windows.info

运行该命令后，根据输出可知此内存转储来自 Windows XP Service Pack 3 机器，后续分析应仅使用 Windows 插件。

1.3 进程识别和分析

正式开始数字取证响应（DFIR）内存转储分析，尝试识别和关联连接的进程、它们的 ID、启动时间以及在内存映像中的偏移位置。可以使用以下三个插件开始：