内存取证

volatility

镜像基本信息（得到profile）：

volatility -f mem.data imageinfo

搜索进程、导出内存块：

volatility -f mem.data --profile=XXX pslist
volatility -f mem.data --profile=XXX memdump -p 2768 -D ./

查看命令行输入、命令行历史记录：

volatility -f mem.data --profile=XXX cmdline
volatility -f mem.data --profile=XXX cmdscan

查看可疑文件、导出文件：

volatility -f mem.data --profile=XXX filescan | grep "doc\|docx\|rtf"
volatility -f mem.data --profile=XXX dumpfiles -D ./ -Q 0x000000001e85f430 -n

查看内存中记录的当时正在运行的程序、运行次数、最后运行时间：

volatility -f mem.data --profile=XXX userassist

查看截图：

volatility -f mem.data --profile=XXX screenshot --dump-dir=./

查看当前notepad文本：

volatility -f mem.data --profile=XXX notepad

查看系统用户名：

volatility -f mem.data --profile=XXX printkey -K "SAM\Domains\Account\Users\Names"

查看最后登录系统的账户：

volatility -f mem.data --profile=xxx printkey -K "SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon"

查看网络连接：

volatility -f mem.data --profile=XXX netscan

查看缓存在内存中的注册表：

volatility -f mem.data --profile=XXX hivelist

提取注册表system和SAM虚拟地址的hash内容：

volatility -f mem.data --profile=XXX hashdump -y 0xfffff8a000024010 -s 0xfffff8a00167a010 -D ./

提取内存中主文件表（MFT）记录信息（文件属性）：

volatility -f mem.data --profile=XXX mftparser > mft.txt

显示每个进程的加载dll列表

volatility -f name -profile = Win7SP0x86 dlllist> dlllist.txt

filescan查看文件

volatility -f name -profile = Win7SP0x86 filescan
volatility -f name -profile = Win7SP0x86 filescan | grep -E 'jpg|png|jpeg|bmp|gif' 查看图片

提取filescan的文件,利用dumpfiles

volatility -f name -profile = Win7SP0x86 dumpfiles -Q 0x00000000053e9658 --dump-dir=./