内存取证
内存取证
volatility
在kali下直接使用就好
确定profile的值：volatility -f filename imageinfo
会出现多个结果，一般情况下取第一个结果
列举进程：volatility -f xp.raw --profile=WinXPSP2x86 pslist
查看缓存在内存中的注册表：volatility -f xp.raw --profile=WinXPSP2x86 hivelist
获取 SAM 表中的用户：
volatility -f xp.raw --profile=WinXPSP2x86 printkey -K "SAM\Domains\Account\Users\Names"
把内存中某个进程的数据以 dmp 的形式保存出来：
volatility -f xp.raw --profile=WinXPSP2x86 memdump -p [PID] -D [dump 出的文件保存的目录]
把内存中保留的 cmd 的命令打印出来：
volatility -f xp.raw --profile=WinXPSP2x86 cmdscan
查看内存中的系统密码：
volatility -f xp.raw --profile=WinXPSP2x86 hashdump -y （注册表 system 的 virtual 地址 ）-s （SAM 的 virtual 地址）
首先要获取注册表 system 的 virtual 地址和 SAM 的 virtual 地址，使用 hivelist 查看
再使用：volatility -f xp.raw --profile=WinXPSP2x86 hashdump -y 0xe1035b60 -s 0xe13fbb60
