决定出一期内存取证常见题型的文章，利于诸君平时做题 文章也会持续更新
如果需要详细的安装教程和插件使用请查看以下文章
内存取证-volatility工具的使用 （史上更全教程，更全命令）_路baby的博客-CSDN博客内存取证-volatility工具的使用 （史上更全教程，更全命令）安装步骤 命令解析 工具插件分析 例题讲解https://blog.csdn.net/m0_68012373/article/details/127419463
1.从内存文件中获取到用户hacker 的密码并且破解密码，将破解后的密码作为 Flag值提交;
先获取内存文件的profile，使用imageinfo 插件即可
**volatility -f xxx.vmem imageinfo **
使用 "SAM\Domains\Account\Users\Names"查看用户（这一步可有可无）
volatility -f xxx.vmem --profile=[操作系统]** printkey -K "SAM\Domains\Account\Users\Names" **
破密码
volatility -f **** xxx.vmem --profile=[操作系统]** hashdump(hashcat或者john 去破解)**
volatility -f **** xxx.vmem --profile=[操作系统]** mimikatz**
volatility -f **** xxx.vmem --profile=[操作系统]** lsadump**
2.获取当前系统的主机名，将主机名作为Flag值提交;
volatility -f xxx.vmem --profile=[操作系统]** printkey -K "ControlSet001\Control\ComputerName\ComputerName"**
volatility -f xxx.vmem --profile=[操作系统]** envars(查看环境变量)**
3.获取当前系统浏览器搜索过的关键词，作为Flag提交;
volatility -f xxx.vmem --profile=[操作系统]** iehistory **
4.获取当前内存文件的 ip地址
volatility -f xxx.vmem --profile=[操作系统]** netscan**
volatility -f xxx.vmem --profile=[操作系统]** connscan**
volatility -f xxx.vmem --profile=[操作系统]** connections**
5.当前系统中存在的挖矿进程，请获取指向的矿池地址，将矿池的IP地址作为. Flag值提交(局域网ip);.
volatility -f xxx.vmem --profile=[操作系统]** netscan(找唯一一个已建立的 ESTABLISHED)**
6.恶意进程在系统中注册了服务，请将服务名以 Flag{服务名}形式提交。
volatility -f xxx.vmem --profile=[操作系统]** pslist -p [子进程号]**
(子进程好上一题可知)
得到父进程
然后在通过通过svcscan可以查询服务名称，根据父进程找到对应服务名
volatility -f xxx.vmem --profile=[操作系统]** svcscan **
7.请将内存文件中的剪贴板内容作为flag 值提交;
volatility -f xxx.vmem --profile=[操作系统]** clipboard**
8.从内存文件中获取记事本的内容，并将该内容作为flag值提交;
volatility -f xxx.vmem --profile=[操作系统]** editbox**
volatility -f xxx.vmem --profile=[操作系统]** notepad**
9.从内存文件中获取截图的内容，并将该内容作为flag值提交;
volatility -f xxx.vmem --profile=0S screenshot --dump-dir=./
10.从内存文件中获取黑客进入系统后下载的图片，将图片中的内容作为 Flag值提交。
volatility -f xxx.vmem --profile=[操作系统]** filescan | grep -E "png|jpg|gif|bmp|zip|rar|7z|pdf|txt|doc"**
11.查看被删除的文件里的内容
volatility -f xxx.vmem --profile=[操作系统]** mftparser**
12.最后一次更新时间，运行过的次数为 Flag值提交。
volatility -f xxx.vmem --profile=[操作系统]** userassist**
13.将最后一次cmd的命令当作flag
volatility -f xxx.vmem --profile=[操作系统]** cmdscan**
加油各位( •̀ ω •́ )y 期待与君再相逢🎈
版权归原作者 路baby 所有， 如有侵权，请联系我们删除。