浅析内存取证

内存取证是对传统磁盘取证的补充。在数字取证领域，磁盘取证一直是主流方法，但随着计算机系统的发展，许多关键数据和活动发生在内存中。内存取证通过分析系统的内存快照，提供了即时的、实时的关键信息，包括进程、网络连接、用户活动和加密密钥等。与磁盘取证相比，内存取证能够揭示隐藏的恶意行为、还原系统实时状态，且在取证过程中不干扰目标系统。它的独特性和灵活性使得内存取证成为了数字取证中不可或缺的一环，为调查人员提供了更全面、准确的取证结果。

内存取证的优势：

①符合传统物证技术的要求

②评估计算在线证据的可信性

③最大限度地减少对目标系统的影响

内存镜像的获取

常见的内存形式文件后缀有.raw，.img，.mem等等，

1、Windows内存镜像的获取要想获取到Windows内存数据，只要是用户处于登录状态，即便不处于管理员用户的情况下，用相应的镜像获取工具便可以获取到相应的内存数据，常用的比如有DumpIt、FTK Imager、Magnet RAM Capture等，在这里我们使用DumpIt工具来获取计算机内存。

出现Success之后便可以在同目录下找到镜像文件

2、Linux内存镜像的获取

Linux主机获取内存镜像的方式，我们以lime工具进行内存的采集。

在/src目录下使用make指令获取内存镜像。

再使用insmod配上相关的语句我们得到一个Centos7的内存镜像。

3、VMware中的内存数据

当我们进行快照的时候，便会生成相应的快照文件，vmem后缀便是相应的内存镜像。

在虚拟机目录下果然生成了相应镜像。

调查分析

Volatility的使用

在对内存镜像进行取证的过程中，我们首先会考虑使用Volatility。Volatility 是一款开源的内存取证工具，主要用于分析和调查计算机系统的内存映像。它可以帮助取证分析提取有关运行中计算机系统的关键信息，例如进程、网络连接、注册表、文件系统等。

当使用 Volatility 进行内存取证时，以下是一些常用的命令和对应的功能：

常用指令：

imageinfo：用于获取内存映像的信息，包括操作系统类型、版本和体系结构。

pslist：显示运行中的进程列表，包括进程ID（PID）、父进程ID（PPID）、创建时间等。

psscan：扫描内存中的进程并显示进程详细信息，包括进程名称、PID、创建时间、退出时间等。

pstree：显示进程树，展示进程之间的父子关系。

modules：列出加载的内核模块和驱动程序。

handles：显示进程打开的文件和注册表键的句柄。

filescan：扫描内存中的文件对象并显示详细信息，如文件名、路径、创建时间等。

dumpfiles：从内存映像中提取文件。

connections：显示网络连接信息，包括本地地址、远程地址、进程ID等。

sockscan：扫描内存中的套接字对象并显示详细信息。

实战挑战

编辑参加了最后一次蓝帽杯比赛，也是希望蓝帽杯早点回归，在当时取证部分全部通关后，赛后又颇有研究，在此再拿来复盘。

蓝帽杯——计算机取证

1.从内存镜像中获得taqi7的开机密码是多少？（答案参考格式：abcABC123）

2.制作该内存镜像的进程Pid号是多少？（答案参考格式：1024）

3.bitlokcer分区某office文件中存在的flag值为？（答案参考格式：flag{abcABC123}）

4.TrueCrypt加密中存在的flag值为？（答案参考格式：flag{abcABC123}）

镜像文件：

①先对内存镜像来源进行初步分析，并得到Windows版本：

在这里不同于一些网上的解法，我们另辟新径，使用到了mimikatz，mimikatz插件可以在内存映像中搜索敏感凭证。如果找到匹配的凭证，将在控制台中显示相关信息，包括用户名、密码哈希值等。

②需要我们对内存中的进程树进行列举，并找出相关制作镜像的程序

不难发现有Magnet RAM Capture

③除了内存镜像之外，我们还有一个G.E01的磁盘镜像，我们拿来分析，开启万能的取证大师

但是发现其中含有BitLocker加密

这时候需要用到Passware Kit Forensic进行内存对磁盘的解密

选择使用内存镜像文件，进行解密后可以得到相应BitLocker密钥：

在取证大师中加载后可以完成对磁盘的解密

可以确定是从渗透看取证.pptx，需要用到目录下的字典pass.txt，破解后得到

④题目提示了说是 truecrypt 加密

经查看内容，判断新建文本文档.txt 应该为 Truecrypt 加密之后的内容：

使用工具 EFDD（Elcomsoft Forensic Disk Decryptor）进行解密

先把.扩展名为.evk 文件进行保存 选择挂载为 disk，为下图所示：

挂载之后得到一个哈哈哈.zip

确定不是伪加密之后，对压缩包文件进行爆破，最终得到：

收获总结

内存取证是数字取证领域的重要方法，它可以揭示隐藏的恶意行为、还原系统实时状态，为调查人员提供更全面、准确的取证结果。内存取证的独特性和灵活性使得它成为数字取证中不可或缺的一环，在未来，内存取证也将会遇到更多挑战。

原文始发于微信公众号（电子取证及可信应用协创中心）：浅析内存取证