Linux 下的电子取证

    

      此篇文章我是根据信息安全铁人三项赛前培训视频和小组学习过后的经验所写。重现视频中的步骤吧。实验吧视频连接地址：

      http://nuc.shiyanbar.com/course/80668/vid/2223

     其中有些结论是根据老师同学的结论总结而来，具体原理有些不懂。将通过进一步学习，理解其原理。

     电子取证百度百科上是这样说的：电子取证是指利用计算机软硬件技术，以符合法律规范的方式对计算机入侵、破坏、欺诈、攻击等犯罪行为进行证据获取、保存、分析和出示的过程。从技术方面看，计算机犯罪取证是一个对受侵计算机系统进行扫描和破解，对入侵事件进行重建的过程。具体而言，是指把计算机看作犯罪现场，运用先进的辨析技术，对计算机犯罪行为进行解剖，搜寻罪犯及其犯罪证据。

    我是这样认为的，取证，即取得证据。取得他人入侵记录，得到证据。今天在这写的是，通过linux平台下的Volatility的工具取证。kali下自带这个工具。其他的系统下载后解压后可以直接使用。下载地址：https://github.com/volatilityfoundation/volatility

下载后，解压。通过python vol.py -h 

我们可以通过 python vol.py -h  命令查看帮助，获取常用的命令。例如

查看插件、地址空间、以及Profiles。如下图。

    我们实战分析的题：http://www.honeynet.org/challenges/2011_7_compromised_server

    看到挑战提供的问题如下。