CTFer内存取证60个高频使用命令清单

🛠️ Volatility 功能模块一览

Windows 功能模块

Volatility 提供了丰富的插件，帮助你在 Windows 系统中进行深度内存取证。以下是一些常用模块及其功能：

Linux 功能模块

Volatility 同样支持 Linux 系统的内存取证，以下是常用模块及其功能：

• 查看进程列表：

  volatility -f out.mem --profile=LinuxUbuntu16x64 linux_pslistvolatility -f out.mem --profile=LinuxUbuntu16x64 linux_psauxvolatility -f out.mem --profile=LinuxUbuntu16x64 linux_pstree

• 保存进程内存：

  volatility -f out.mem --profile=LinuxUbuntu16x64 linux_procdump 2187 --dump-dir=./dump

• 查看网络连接：

  volatility -f out.mem --profile=LinuxUbuntu16x64 linux_netstatvolatility -f out.mem --profile=LinuxUbuntu16x64 linux_netscan

• 提取浏览器网络历史：

  volatility -f out.mem --profile=LinuxUbuntu16x64 linux_netstat -p <browser PID>

• 恢复 bash 历史记录：

  volatility -f out.mem --profile=LinuxUbuntu16x64 linux_bash

• 提取进程环境变量：

  volatility -f out.mem --profile=LinuxUbuntu16x64 linux_bash_env

• 查看 ARP 表：

  volatility -f out.mem --profile=LinuxUbuntu16x64 linux_arp

• 列出进程工作目录：

  volatility -f out.mem --profile=LinuxUbuntu16x64 linux_getcwd

• 列出打开的文件与网络连接：

  volatility -f out.mem --profile=LinuxUbuntu16x64 linux_lsof

• 提取系统活动接口信息：

  volatility -f out.mem --profile=LinuxUbuntu16x64 linux_ifconfig

• 查找文件：

  volatility -f out.mem --profile=LinuxUbuntu16x64 linux_enumerate_files | grep 'places.sqlite'

• 保存文件：

  volatility -f out.mem --profile=LinuxUbuntu16x64 linux_find_file -i 0xffff997931585c00 -O EvoW57sb.7z.part

• 提取 SSH 密钥：

  volatility -f out.mem --profile=LinuxUbuntu16x64 linux_sshkeys

• 查看已挂载设备：

  volatility -f out.mem --profile=LinuxUbuntu16x64 linux_mount