内存取证工具——volatility 常用命令

前言

红帽杯里也做到过内存取证，取证的课又重温了一遍，于是就准备把常用命令记下来。

---

正文

猜测镜像系统

volatility -f Memory.vmem imageinfo

在支持的系统里可以看到

知道系统后，之后的命令就都加上这一段即可
–profile=Win81U1x86

---

调出shell窗口

这算一个奇淫技巧
volatility -f Memory.vmem --profile=Win81U1x86 volshell
可以测试你猜测的系统是否正确，正确的话就能getshell

shell的命令：

dt(“内核关键数据结构名称”)

如：

dt("_PEB")

---

列举进程

volatility -f mem.vmem --profile=WinXPSP2x86 pslist

可以看到PID、PPID、启动的时间。

另一个相似的命令是pstree，与pslist差不多，但可以识别子进程以及父进程

psscan命令可以显示出被隐藏的进程，比如一些隐藏自己的病毒

最后还有dlllist，可以看到每个进程（程序）
运行所需要的所有动态链接库

<