注册
登录
作者：beswing 预估稿费：300RMB 投稿方式：发送邮件至linwei#360.cn，或登陆网页版在线投稿 前言 这几天和麦香表哥一直在玩取证的事情，我也好好学习了Volatility 这个神器，一个开源的Windows，Linux，MaC，Android的内存取证分析工具，由python编写成，命令行操作，支持各种操作系统。 Volatility 的安装 这次讲的是在linux下的取证，所以我安装的也是linux平台下的Volatility。在https://code.google.com/archive/p/volatility/ 下载源代码，或者使用我分享的源码，http://pan.baidu.com/s/1o8JOQV4 版本是2.6 linux下可以直接使用。如图：
图 （一） 另外，Kali自带了Volatility ，volatility在“应用程序”-“Kali Linux”-“数字取证中。 Volatility的实战分析 了解常用命令 从图一中，我们知道，我们可以通过 python vol.py -h查看帮助，获取常用的命令。例如 查看插件、地址空间、以及Profiles
基本操作
加载镜像，以及加载相应的profile 加载插件。 需要特别说明的是，windows系统的profiles相当齐全，但是linux下的profile就得自己制作了，相应的制作方法，我们可以在https://code.google.com/p/volatility/wiki/LinuxMemoryForensics 看到，或者我们可以在https://github.com/KDPryor/LinuxVolProfiles](https://github.com/KDPryor/LinuxVolProfiles看到相应linux发行版本，以及相应系统内核的profile。 实战 我们在这里即将分析的镜像是Challenge 7 of the Forensic Challenge 2011 - Forensic Analysis of a Compromised Server的题目，我们可以在https://www.honeynet.org/challenges/2011_7_compromised_server 这下载到相应的镜像文件。 第一步 分析镜像文件 分析镜像文件，我们可以通过挂载的方式，来确定镜像的系统的版本，我们才可以制作相应的profile，或者搜索相应的profile。 我们先挂载镜像 mount -o loop victoria-v8.sda1.img /mnt 将镜像挂载到/mnt。 切换到/mnt 目录 root@kali:~/Desktop/volatility-master# cd /mnt
我们可以看到相应的系统文件。
| |
| 本文出处： http://www.toutiao.com/a6417582467050111234/ | |
|
声明：文章版权归原作者所有 部分文章转自互联网 如有侵权请联系
[邮箱地址] 删除
|
