取证的基础知识

几款取证常用的工具

volatility(内存取证)，PTF(找密码),取证大师（综合），magnet AXIOM

内存取证

        内存取证是对传统磁盘取证的补充，攻击者通过隐藏或删除攻击痕迹 的手段， 使得传统的对硬盘的取证获得的信息变得越来 越困难。同时，磁盘中的数据加密技术也越来 越普及，比如 EFS、Bitlocker 和 TrueCrypt 加密等等，此 时就涉及到了内存取证，内存取证是指从计算机物理内存和页面交换文件中查找、 提取、分析易失性证据，是对传统基于硬盘中数据取证的重要补充，也是对抗网 络攻击或网络犯罪的有力武器。内存取证有着速度快，镜像占用空间小等优势。

在Windows下
获取内存操作系统（查看镜像信息）

volatility -f easy_dump.img imageinfo      这里的语句可以换成volatility -f easy_dump.img imageinfo   9

imageinfo：显示目标镜像的摘要信息，这常常是第一步，获取内存的操作系统类型及版本，之后可以在 –profile 中带上对应的操作系统，后续操作都要带上这一参数

内存进程列举

volatility -f easy_dump.img --profile=Win7SP1x64 pslist

列举内存注册表，hivelist: 列出所有的注册表项及其虚拟地址和物理地址

volatility -f easy_dump.img --profile=Win7SP1x64 hivelist

解析指定的注册表，获取注册表内的信息

volatility -f easy_dump.img --profile=Win7SP1x64 -o 注册表的名称 printkey

获取主机名

volatility -f easy_dump.img --profile=Win7SP1x64 -o 0xfffff8a0013fb010 printkey -K “ControlSet001\Control\ComputerName\ComputerName”

抓取用户密码

volatility -f easy_dump.img mimikatz

文件扫描

volatility -f easy_dump.img filescan

配合grep文件扫描

volatility -f easy_dump.img filescan | grep “flag”

事件时间线信息

volatility -f Win7x64.vmem --profile=Win7SP1x64 timeliner

查看剪贴板的信息

volatility -f Win7x64.vmem --profile=Win7SP1x64 clipboard

查看网络连接

volatility -f file.raw --profile=WinXPSP2x86 connscan

系统最后一次关机的时间

volatility -f Win7x64.vmem --profile=Win7SP1x64 shutdowntime