本文介绍了在Windows环境下如何使用Volatility工具进行取证分析，包括下载、查看基本信息、进程、镜像CMD历史命令、文件查找、进程权限、环境变量等操作。还涉及到了导出注册表、屏幕截图、剪贴板数据、浏览器历史记录、用户名和密码的MD5加密等信息的查看和导出。
Python微信订餐小程序课程视频
https://edu.youkuaiyun.com/course/detail/36074
Python实战量化交易理财系统
https://edu.youkuaiyun.com/course/detail/35475
volatility（win64）
1.下载
volatility
下载地址：（我下载的版本2.6，并把名字稍微改了一下）
Release Downloads | Volatility Foundation
windows版
2.使用
1.查看基本信息
查看镜像的基本信息,使用的时候可以将这个软件和需要取证的镜像放到一起
例如：
打开终端，输入命令，
./volatility -f memory.img imageinfo
可以看到各种信息，标出的几个是比较重要的
2.查看进程
./volatility -f memory.img --profile=Win2003SP1x86 pslist
profile具体内容根据实际文件为准，pslist应该比较好理解就是进程的列表的意思。
tips:
把pslist可以替换成完成不同的功能
psxview : 可查看一些隐藏进程
pstree : 以树的形式来列出正在进行的进程，不会显示出隐藏或未链接的进程（套神说的）
psxview:
最低0.47元/天 解锁文章
扫一扫
990
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
