|
|
|
|
|---|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
先把 任务3-Windows内存取证.zip 解压⾄桌⾯
切换到工具目录下
┌──(root💀kali)-[~/routing/volatility-master]└─# ./vol.py -f /root/桌面/Windows内存取证.raw imageinfo-- -f 后⾯接的是内存取证镜像⽂件-- imageinfo是⽤于查看镜像信息的
判断镜像的系统版本：
┌──(root💀kali)-[~/routing/volatility-master]└─# ./vol.py -f /root/桌面/Windows内存取证.raw --profile=Win7SP1x64 volshell--volshell //判断镜像的系统版本
正确的：
错误的：
1、请提交内存中恶意进程的名称（pslist）
powershe11.exe
一般pslist分析恶意进程的时候，把哪种比较奇怪或者没有见过的名字，有些恶意进程的pid和ppid是一样的，下面的进程powershe11.exe就是的。
字母l改成了数字1。
┌──(root💀kali)-[~/routing/volatility-master]└─# ./vol.py -f /root/桌面/Windows内存取证.raw --profile=Win7SP1x64 pslist-- --profile=Win7SP1x64 #指定内存镜像的系统版本-- pslist 是列出进程的插件
2、请提交恶意进程写入的文件名称（不含路径）(memdump)
hilyary.txt
上⼀题确定好恶意进程后，用memdump提取进程
┌──(root💀kali)-[~/routing/volatility-master]└─# ./vol.py -f /root/桌面/Windows内存取证.raw --profile=Win7SP1x64 memdump -p 3196 --dump-dir=/root/桌面/windows---p 指定进程PID----dump-dir= 导出到哪⾥
然后把导出的3196.dmp用string分析
┌──(root💀kali)-[~/桌面/windows]└─# strings 3196.dmp > 3196.txt
然后对3196.txt进行代码审计，在代码中发现了写入文件的操作，文件名是hilyary.txt
一般像这种，外面可以直接检索一些常见的后缀，比如.php、.txt之类的。
像windows内存取证，常见的可以检索E:和D:和C:之类的键符
3、请提交admin账户的登录密码（hashdump）
123456
我们复制这个，然后利用kali工具john进行破解
echo"admin:1001:aad3b435b51404eeaad3b435b51404ee:32ed87bdb5fdc5e9cba88547376818d4:::" > admin.txt
4、请提交攻击者创建的账户名称
price
通过之前hashdump结果可以发现有八个账户，但是无法确定哪个是攻击者创建的
这里cmdscan和cmdline都没有对应的net user命令记录，那就可能是在计算机管理用户与用户组里面操作的，那就只能打印注册表了。
┌──(root💀kali)-[~/routing/volatility-master]└─# ./vol.py -f /root/桌面/Windows内存取证.raw --profile=Win7SP1x64 hivelist-- hivelist 查看注册表配置的插件
下面先查⼀下在注册表中记录账户信息的
┌──(root??kali)-[~/routing/volatility-master]└─# ./vol.py -f /root/桌面/Windows内存取证.raw --profile=Win7SP1x64 -o 0xfffff8a000ad8010 printkey-o 后门接Virtual（虚拟地址）printkey 打印输出内存信息
┌──(root💀kali)-[~/routing/volatility-master]└─# ./vol.py -f /root/桌面/Windows内存取证.raw --profile=Win7SP1x64-o 0xfffff8a000ad8010 printkey -K"SAM"-K 后面接需要打印出来的目录位置
以⼀级⼀级打印出来，后来找到这几个user用户
-
HomeGroupUser$ 这一个隐藏用户是家庭组用户，不是攻击者创建的 -
这里也分析不出什么，按照常理来说攻击者创建的用户肯定是不想被电脑主⼈直接发现，那么他就会想办法隐藏 -
常用的就是创建⼀个用户名$ 的账户，然后去注册表里面做特殊账号配置，这样在登录页面就不会显示这个用户
这里我们直接打印注册表：
(HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsNTCurrentVersionsWinlogonSpecialAccountsUserList)
注意 -o 后⾯的虚拟地址要改成对应的(SOFTWARE的)
我们发现确实在打印注册表时，发现存在Price这个账户。
┌──(root💀kali)-[~/routing/volatility-master]└─# ./vol.py -f /root/桌面/Windows内存取证.raw --profile=Win7SP1x64-o 0xfffff8a00095b010 printkey -K"MicrosoftWindows NTCurrentVersionWinlogonSpecialAccountsUserList"
5、请提交在桌面某文件中隐藏的flag信息，格式：flag{...}
flag{welc0me_to_2023_chinaskills}
可以看到我们利用filescan插件进行目录扫描，发现存在一个.jpg格式的图片，这个很奇怪，所以我们可以把这个导出到kali本地，然后利用strings工具进行查看flag字符。
┌──(root💀kali)-[~/routing/volatility-master]└─# ./vol.py -f /root/桌面/Windows内存取证.raw --profile=Win7SP1x64 filescan | grep "Desktop"-- 这⾥⽤filescan进⾏⽂件扫描，grep "Desktop" 过滤，在win⾥⾯就改成find
我们文件导出，然后把文件名改成skills.jpg，然后用工具进行分析
┌──(root💀kali)-[~/routing/volatility-master]└─# ./vol.py -f /root/桌面/Windows内存取证.raw --profile=Win7SP1x64 dumpfiles -Q 0x000000013ddc3070 -D /root/桌面/windows---Q 后⾯的值就是上⼀个图⽚⾥⾯左边的16进制---D 后⾯跟保存的路径
这到道题目比较简单，内容不多，并且flag值就在最下面。
1、netscan 获取IP地址
2、cmdscan 获取历史命令
3、hivelist 查看注册表
4、iehistory 查看浏览器历史记录
5、filescan 查找文件
6、dumpfiles 导出指定的文件内容到本地
- -Q 后面接virtual值（16进制）
- -D 后面跟保存的路径
原文始发于微信公众号（神农Sec）：不会取证？取证总结少？Windows内存取证超详细解题过程看过来！
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论