CTF成长之路丨Windows取证常用工具介绍

对Windows主机来说，可以使用Dumplt工具去dump内存中的信息，Dumpit是一款Windows内存镜像取证工具。利用它我们可以轻松地将一个系统的完整内存镜像下来，并用于后续的调查取证工作。

双击DumpIt.exe可执行程序，并在提示问题后面输入y，等待几分钟时间即可在当前目录下生成主机物理内存的副本，该副本文件是以*.raw为后缀的镜像文件，我们取证的对象就是这个内存镜像。

等待运行结束即可看到相同与内存大小的镜像文件。

FTK Imager

还可以使用FTK Imager来进行内存的抓取：

Volatility

Volatility是一款开源内存取证框架， 能够对导出的内存镜像进行分析，通过获取内核数据结构，使用插件获取内存的详细情况以及系统的运行状态，特点有：开源并通过Python编写，易于和基于python的主机防御框架集成，支持多平台：Windows，Mac，Linux全支持，可以通过插件来扩展Volatility的分析能力，因此易于扩展。

下载地址：https://www.volatilityfoundation.org/26

常见插件介绍

imageinfo：获取镜像信息

python vol.py -f 文件 imageinfo

可以在Suggested Profile处得到系统版本的信息，后续会调用对应版本的profile进行取证。

• hashdump和mimikatz：获取用户密码

python vol.py -f 文件 --profile=版本 hashdump/mimikatz

mimikatz插件相较于hashdump会好用一些，但是其并不是Volatility默认的插件，需要把插件的Python文件放到volatility-mastervolatilityplugins即可

• pslist和psscan和pstree：查看进程信息

python vol.py -f 文件 --profile=版本 pslist/psscan/pstree

一般内存取证的第二步会使用pslist插件列出所有当前正在运行的进程，psscan会启发式搜索内存中的EPROCESS结构，因此会列出一些隐藏的进程，pstree则是以树的形式列出进程。

• memdump和procdump：提取进程

python vol.py -f 文件 --profile=版本 memdump/procdump -p [PID] -D [dump 出的文件保存的目录]

memdump可以将进程在内存中的所有页存入一个文件中，procdump则可以获取进程的可执行文件，例如提取PID为820的DumpIt.exe进程。

接下来是查看可疑的进程，如notepad.exe(记事本)，mspaint.exe(画图)有可能隐藏信息在里面，可以使用插件notepad查看或者导出进程进行查看，比如对820.dmp进程筛选关键字flag。

strings -e l ./820.dmp | grep flag

看到cmd.exe进程则可以使用cmdscan和cmdline插件查看获取cmd输入的内容，看到chrome.exe/firefox.exe/iexplorer.exe则考虑浏览器取证，可以使用iehistory插件查看浏览器浏览历史，看到keepass.exe/truecrypt.exe则是加密容器等。

• filescan和dumpfiles和userassist

filescan会扫描内存中所有文件，并且可以使用grep命令进行筛选，比如要筛选txt后缀的文件。

python vol.py -f 文件 --profile=版本 filescan | grep 'txt'

dumpfiles则可以把内存中的文件导出

python vol.py -f 文件 --profile=版本 dumpfiles -Q 文件地址 --dump-dir=导出地址

还可以用userassist查找出包含系统或桌面执行文件的信息，如名称、路径、执行次数、最后一次执行时间等。

其他一些插件

• clipboard：查看剪切板中的数据，editbox：查看记事本内容

python vol.py -f 文件 --profile=版本 clipboard/editbox

• screenshot：获取屏幕截图

python vol.py -f 文件 --profile=版本 screenshot --dump-dir=导出地址

• netscan：查看网络连接情况

python vol.py -f 文件 --profile=系统版本 netscan

注册表系列

python vol.py -f 文件 --profile=版本 hivelist

hivedump：导出注册表

python vol.py -f 文件 --profile=版本 hivedump -o 注册表virtual地址

一般查找出注册表后还可以配合hashdump查找密码

python vol.py -f 文件 --profile=版本 hashdump -y (system的virtual地址) -s (SAM的virtual地址)

printkey：打印注册表项及其子项和值，常用到的有以下两个：

获取SAM表中的用户

python vol.py -f 文件 --profile=版本 printkey -K "SAMDomainsAccountUsersNames"

获取最后登录系统的账户

python vol.py -f 文件 --profile=版本 printkey -K "SOFTWAREMicrosoftWindows NTCurrentVersionWinlogon"

dumpregistry：提取内存中的注册表文件

python vol.py -f 文件 --profile=版本 dumpregistry -D 导出地址

对于导出来的注册表文件，我们可以用WRR软件或者Registry Explorer对其进行分析，下图是WRR：

取证大师是一款提供给基层执法人员使用的电子数据取证分析软件，我们可以通过这款软件来将通话录音、照片、录像等电子文件保存下来，作为取证时进行使用，作为一款国产的综合类取证工具，在CTF取证中也是十分好用的。

首先点击新建案例，添加镜像文件之后下一步就可以自动取证了。

在取证完成之后即可显示取证的结果，并且在证据文件处可以对文件进行搜索，比如搜索txt后缀结尾文件：

Magnet AXIOM是一款功能强大的一体化数字调查取证解决方案，可以快速的从各种智能手机、云服务、计算机、IoT设备和第三方图像等资源中恢复数据，并以最直观最容易接受的方式来将这些证据呈现出来，类似于国内的取证大师，在安装完成后有Magnet AXIOM process 和Magnet AXIOM Examine两个软件。

先打开Magnet AXIOM process选择案件详情选择取证文件保存的位置->证据来源->计算机-> Windows ->加载证据->镜像，然后等待分析证据，在分析完成后Magnet AXIOM Examine会弹出并呈现出分析结果。

一般来说KeePass的数据库格式是用kdbx后缀结尾的，通常从内存中提取到KeePass的密钥对其进行解密，比如网鼎杯的密码柜题，先用KeePass打开kdbx后缀的文件，然后使用内存中提取的密钥6s4mxkhvge解密即可看到密钥的信息，右键点击Edit Entry即可查看详情：

导出文件可点击Tools->Options->Advanced，勾选Extra-safe file transactions，然后右键Save Attached Files(s) To即可支持导出文件。

Elcomsoft Forensic Disk Decryptor是一款非常实用的磁盘密码解密与恢复工具，用于访问加密卷，程序提供了所有可用方法，可以访问存储在加密的PGP、TrueCrypt、eraCrypt等等磁盘和卷中的信息。

这里以网鼎杯的密码柜为例解开BitLocker的密钥，首先点击Extract keys，选择内存文件memeories.vmem，会解密出一个key，然后点下一步保存为1.evk，点击Decrypt or mount disk选择挂载好的磁盘，再导入1.evk即可。

最后可以解密出密钥，EDFF还可以对TrueCrypt进行破解，如V&N比赛中的一道内存取证，就是先把TrueCrypt.exe进程Dump出来的文件，然后对磁盘文件进行解密。