kali对windows的内存取证

在kali系统上，有VOLATILITY等工具，可以方便的完成内存镜像取证等工作，如何将Windows系统内存镜像数据给VOLATILITY分析呢？除了通过DumpIt等第三方工具镜像为文件外，本文将介绍一种方法，将更方便的完成内存镜像取证。

准备工作

一台被内存镜像取证的电脑运行的windows系统
一台取证电脑运行的kali系统
两台电脑要能通过网络通信，并且最好是有线千M以上网络，因为windows系统的内存镜像数据，是要通过网络传到kali系统的，所以网络速度至关重要。

安装软件

在Windows系统上，安装RFBD，RFBD是跨平台的nbd-server，通过该服务实现读取Windows内存数据。
主页：http://ranfs.com/cn/?RFBD
用管理员权限运行powershell，执行如下命令：

$rfbd_dir=“c:\rfbd”;Invoke-Expression(New-Object Net.WebClient).DownloadString(“http://ranfs.com/pub/rfbd/all/get.ps1”)

注意： $rfbd_dir=“c:\rfbd” 中的 c:\rfbd为rfbd安装目录， 如要安装其它目录，请更改此路径。

在没有powershell系统里，请手动下载安装包，运行里面的install.bat即可完成安装。

关于防火墙配置，默认情况下，脚本自动配置了系统防火墙，放行了使用的端口，如果使用了其它防火墙，请手动放行10809端口和6780端口，10809为nbd服务端口，必须放行 ，6780为web调试和配置端口，根据需要放行。

<