最近簡單的瞭解了一下Volatility這個開源的取證框架，這個框架能夠對導出的內存鏡像鏡像分析，能過通過獲取內核的數據結構，使用插件獲取內存的詳細情況和運行狀態，同時可以直接dump系統文件，屏幕截圖，查看進程等等等等~~~

安裝

安裝分爲三步走：

1. 下載
2. 安裝必要的python依賴文件
3. 安裝本體

下載

你可以在 Release 中找到對應你係統（Mac，Win，Linux）的源代碼，當然也可以通過github去獲取源碼：

git clone https://github.com/volatilityfoundation/volatility.git

依賴

如果只是用Volatility本體，就不要安裝這些依賴，但是如果想使用某些插件，就需要對這些以依賴進行安裝·

Distorm3:牛逼的反編譯庫

pip install distorm3

Yara:惡意軟件分類工具

pip install yara

PyCrypto:加密工具集

pip install pycrypto

PIL:圖片處理庫

pip install pil

OpenPyxl:讀寫excel文件

pip install openpyxl

ujson:JSON解析

pip install ujson

安裝

如果你用的是獨立的win、linux、mac執行文件，那就不必安裝了。只要用python去執行就好。

若是下載了壓縮文件，那你可以選擇直接運行python主程序，也可以選擇使用python setup.py install的方式將Volatility以一個庫的形式安裝在系統的特定位置上，從而以後我們可以將Volatility作爲一個庫在其他腳本中去引用namespace。

0×02 使用

kali自帶有volatility，於是我直接在kali山進行操作

我這裏也直接用我這兩天看的一道CTF的題目作爲實例來操作吧

Imageinfo

這個命令可以用來獲取內存鏡像的摘要信息，比如系統版本，硬件構架等

volatility -f wuliao.data imageinfo

通過Suggested Profile(s) 我們可以知道這個鏡像文件的版本最有可能事Win7SP1x64

可以使用–info參數來查看Volatility已經添加的profile和插件信息

Kdbgscan

這個插件可以掃描文件的profile的值，通常掃描結果有多個，只有一個結果是完全正確的，kdbgscan和imageinfo都只適用於windows的鏡像

Pslist

volatility -f wuliao.data --profile=Win7SPx64 pslist

pslist可以直接列出運行的進程，如果進程已經結束，會在Exit列顯示日期和時間，表明進程已經結束

Hivelist

列舉緩存在內存中的註冊表

volatility -f wuliao.data --profile=Win7SP1x64 hivelist

filescan

掃描內存中的文件

volatility -f wuliao.data --profile=Win7SP1x64 filescan

filescan 也可以結合grep命令來進行篩選，比如

volatility -f wuliao.data --profile=Win7SP1x64 filescan |grep "doc\|docx\|rtf"

也可以

volatility -f wuliao.data --profile=Win7SP1x64 filescan |grep "flag"

Dumpfiles

導出內存中緩存的文件

我直接導出上面搜索flag得到的flag.jpeg文件

volatility -f wuliao.data --profile=Win7SP1x64 dumpfiles -Q 0x000000007f142f20 -D ./ -u

Cmdscan/cmdline

提取內存中保留的cmd命令使用情況

volatility -f wuliao.data --profile=Win7SP1x64 cmdline

查看截圖

volatility -f wuliao.data --profile=Win7SP1x64 screenshot --dump-dir=./

查看系統用戶名

volatility -f wuliao.data --profile=Win7SP1x64 printkey -K "SAM\Domains\Account\Users\Names"

查看網絡連接

volatility -f wuliao.data --profile=Win7SP1x64 netscan

我真是個啥都不會，啥都要學的five啊

*本文作者:瑟瑟發抖鹹魚黃，轉載請註明來自FreeBuf.COM