其他分享
首页 > 其他分享> > volatility使用

volatility使用

作者:互联网

-f文件名
-l位置
-w写操作
Q进程号
imageinfo内存镜像的基本信息
iehistory查看浏览进程
- kKPCR指定一个特定KPCR地址

1、查看基本信息,根据查到的信息确定profile的值

volatility -f 文件.vmem imageinfo

在这里插入图片描述

2、指定profile,使用具体的命令

iehistory 是看浏览器的进程,pslist是ps命令(也可以用psscan),等等

volatility -f BOOM-6452e9b9.vmem --profile=Win7SP1x64 iehistory 

在这里插入图片描述

3、Kdbgscan

这个插件可以扫描文件的profile的值,通常扫描结果有多个,只有一个结果是完全正确的,kdbgscan和imageinfo都只适用于windows的镜像
Kdbgscan
在这里插入图片描述

4、Pslist

volatility -f wuliao.data --profile=Win7SPx64 pslist

pslist可以直接列出运行的进程,如果进程已经结束,会在Exit列显示日期和时间,表明进程已经结束

在这里插入图片描述

5、Hivelist

列举缓存在内存中的注册表

volatility -f wuliao.data --profile=Win7SP1x64 hivelist
在这里插入图片描述

6、对文件查找及dumo提取某个进程:

volatility -f name --profile=Win7SP1x64 memdump -D . -p 2872
strings -e l ./2872.dmp | grep flag
volatility -f name --profile=Win7SP1x64 dumpfiles -Q 0x000000007e410890 -n --dump-dir=./

7、密码hashdump

olatility -f 文件名 --profile=Win2003SP1x86 hashdump | grep FHREhpe
在这里插入图片描述

工具指令篇

标签:profile,Win7SP1x64,--,pslist,使用,进程,volatility
来源: https://blog.csdn.net/qq_45951598/article/details/110914935