内存取证常见例题思路方法-volatility (没有最全只有更全)-Toy模板网

这篇具有很好参考价值的文章主要介绍了内存取证常见例题思路方法-volatility (没有最全只有更全)。希望对大家有所帮助。如果存在错误或未考虑完全的地方，请大家不吝赐教，您也可以点击"举报违法"按钮提交疑问。

1.从内存文件中获取到用户hacker 的密码并且破解密码，将破解后的密码作为 Flag值提交;

2.获取当前系统的主机名，将主机名作为Flag值提交;

3.获取当前系统浏览器搜索过的关键词，作为Flag提交;

4.获取当前内存文件的 ip地址

5.当前系统中存在的挖矿进程，请获取指向的矿池地址，将矿池的IP地址作为. Flag值提交(局域网ip);.

6.恶意进程在系统中注册了服务，请将服务名以 Flag{服务名}形式提交。

7.请将内存文件中的剪贴板内容作为flag 值提交;

8.从内存文件中获取记事本的内容，并将该内容作为flag值提交;

9.从内存文件中获取截图的内容，并将该内容作为flag值提交;

10.从内存文件中获取黑客进入系统后下载的图片，将图片中的内容作为 Flag值提交。

11.查看被删除的文件里的内容

12.最后一次更新时间，运行过的次数为 Flag值提交。

13.将最后一次cmd的命令当作flag

加油各位( •̀ ω •́ )y 期待与君再相逢

决定出一期内存取证常见题型的文章，利于诸君平时做题文章也会持续更新

如果需要详细的安装教程和插件使用请查看以下文章

内存取证-volatility工具的使用（史上更全教程，更全命令）_路baby的博客-CSDN博客内存取证-volatility工具的使用（史上更全教程，更全命令）安装步骤命令解析工具插件分析例题讲解https://blog.csdn.net/m0_68012373/article/details/127419463

1.从内存文件中获取到用户hacker 的密码并且破解密码，将破解后的密码作为 Flag值提交;

先获取内存文件的profile，使用imageinfo 插件即可

volatility -f xxx.vmem imageinfo

使用 "SAM\Domains\Account\Users\Names"查看用户（这一步可有可无）

volatility -f xxx.vmem --profile=[操作系统] printkey -K "SAM\Domains\Account\Users\Names"

破密码

volatility -f xxx.vmem --profile=[操作系统] hashdump(hashcat或者john 去破解)

volatility -f xxx.vmem --profile=[操作系统] mimikatz

volatility -f xxx.vmem --profile=[操作系统] lsadump

2.获取当前系统的主机名，将主机名作为Flag值提交;

volatility -f xxx.vmem --profile=[操作系统] printkey -K "ControlSet001\Control\ComputerName\ComputerName"

volatility -f xxx.vmem --profile=[操作系统] envars(查看环境变量)

3.获取当前系统浏览器搜索过的关键词，作为Flag提交;

volatility -f xxx.vmem --profile=[操作系统] iehistory

4.获取当前内存文件的 ip地址

volatility -f xxx.vmem --profile=[操作系统] netscan

volatility -f xxx.vmem --profile=[操作系统] connscan

volatility -f xxx.vmem --profile=[操作系统] connections

5.当前系统中存在的挖矿进程，请获取指向的矿池地址，将矿池的IP地址作为. Flag值提交(局域网ip);.

volatility -f xxx.vmem --profile=[操作系统] netscan(找唯一一个已建立的 ESTABLISHED)

6.恶意进程在系统中注册了服务，请将服务名以 Flag{服务名}形式提交。

volatility -f xxx.vmem --profile=[操作系统] pslist -p [子进程号]

(子进程好上一题可知)

得到父进程

然后在通过通过svcscan可以查询服务名称，根据父进程找到对应服务名

volatility -f xxx.vmem --profile=[操作系统] svcscan

7.请将内存文件中的剪贴板内容作为flag 值提交;

volatility -f xxx.vmem --profile=[操作系统] clipboard

8.从内存文件中获取记事本的内容，并将该内容作为flag值提交;

volatility -f xxx.vmem --profile=[操作系统] editbox

volatility -f xxx.vmem --profile=[操作系统] notepad

9.从内存文件中获取截图的内容，并将该内容作为flag值提交;

volatility -f xxx.vmem --profile=0S screenshot --dump-dir=./

10.从内存文件中获取黑客进入系统后下载的图片，将图片中的内容作为 Flag值提交。

volatility -f xxx.vmem --profile=[操作系统] filescan | grep -E "png|jpg|gif|bmp|zip|rar|7z|pdf|txt|doc"

11.查看被删除的文件里的内容

volatility -f xxx.vmem --profile=[操作系统] mftparser

12.最后一次更新时间，运行过的次数为 Flag值提交。

volatility -f xxx.vmem --profile=[操作系统] userassist

13.将最后一次cmd的命令当作flag

volatility -f xxx.vmem --profile=[操作系统] cmdscan文章来源地址https://www.toymoban.com/news/detail-407686.html

加油各位( •̀ ω •́ )y 期待与君再相逢🎈

到了这里，关于内存取证常见例题思路方法-volatility (没有最全只有更全)的文章就介绍完了。如果您还想了解更多内容，请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章，希望大家以后多多支持TOY模板网！

内存取证常见例题思路方法-volatility (没有最全只有更全)

1.从内存文件中获取到用户hacker 的密码并且破解密码，将破解后的密码作为 Flag值提交;

2.获取当前系统的主机名，将主机名作为Flag值提交;

3.获取当前系统浏览器搜索过的关键词，作为Flag提交;

4.获取当前内存文件的 ip地址

5.当前系统中存在的挖矿进程，请获取指向的矿池地址，将矿池的IP地址作为. Flag值提交(局域网ip);.

6.恶意进程在系统中注册了服务，请将服务名以 Flag{服务名}形式提交。

7.请将内存文件中的剪贴板内容作为flag 值提交;

8.从内存文件中获取记事本的内容，并将该内容作为flag值提交;

9.从内存文件中获取截图的内容，并将该内容作为flag值提交;

10.从内存文件中获取黑客进入系统后下载的图片，将图片中的内容作为 Flag值提交。

11.查看被删除的文件里的内容

12.最后一次更新时间，运行过的次数为 Flag值提交。

13.将最后一次cmd的命令当作flag

加油各位( •̀ ω •́ )y 期待与君再相逢🎈

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

微信扫一扫打赏

支付宝扫一扫领取红包，优惠每天领

二维码1

二维码2

内存取证常见例题思路方法-volatility (没有最全 只有更全)

1.从内存文件中获取到用户hacker 的密码并且破解密码，将破解后的密码作为 Flag值提交;

2.获取当前系统的主机名，将主机名作为Flag值提交;

3.获取当前系统浏览器搜索过的关键词，作为Flag提交;

4.获取当前内存文件的 ip地址

5.当前系统中存在的挖矿进程，请获取指向的矿池地址，将矿池的IP地址作为. Flag值提交(局域网ip);.

6.恶意进程在系统中注册了服务，请将服务名以 Flag{服务名}形式提交。

7.请将内存文件中的剪贴板内容作为flag 值提交;

8.从内存文件中获取记事本的内容，并将该内容作为flag值提交;

9.从内存文件中获取截图的内容，并将该内容作为flag值提交;

10.从内存文件中获取黑客进入系统后下载的图片，将图片中的内容作为 Flag值提交。

11.查看被删除的文件里的内容

12.最后一次更新时间，运行过的次数为 Flag值提交。

13.将最后一次cmd的命令当作flag

加油各位( •̀ ω •́ )y 期待与君再相逢🎈

相关文章

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

微信扫一扫打赏

支付宝扫一扫领取红包，优惠每天领

二维码1

二维码2

内存取证常见例题思路方法-volatility (没有最全只有更全)