其他分享
首页 > 其他分享> > volatility2各类外部插件使用简介

volatility2各类外部插件使用简介

作者:互联网

 

插件使用方式:

1.把插件文件放入volatility的plugins中

2.使用--plugins参数指定插件目录

 

官方-社区插件项目

https://github.com/volatilityfoundation/community

注意:

1.如果使用出错,可以打开插件文件或者单独运行,可能是有些库没有安装

2.官方虽然提供了一个社区插件的整合仓库,却没有给出详细说明。文件夹名称是插件制作者的姓名,文件夹内才是插件真正的名称。下面挑一部分进行说明。

 

 

mimakatz插件:提取内存中的密码

安装依赖库:sudo pip install construct==2.5.5-reupload

volatility --plugins=./community/FrancescoPicasso/ -f memory mimikatz

 

 

ndispktscan插件:搜索内核的网络流量包信息

https://github.com/bridgeythegeek/ndispktscan

volatility --plugins=./community/AdamBridge/ -f Adv.raw ndispktscan

 

 

 

VolDiff  恶意软件检测

https://github.com/aim4r/VolDiff

它是基于volatility,但是需要单独使用。

 

 

Chrome Ragamuffin

分析内存中的chrome浏览器运行实例,可以分析正在浏览的页面

https://github.com/cube0x8/chrome_ragamuffin

volatility --plugins=./community/AlessandroDeVito -f Adv.raw  chrome_ragamuffin --analysis history

volatility --plugins=./community/AlessandroDeVito -f Adv.raw  chrome_ragamuffin --analysis renderer

 

 

gargoyle

检测'gargoyle' 攻击,gargoyle是一种内存扫描规避技术

 

rdpkeys

分析windows RDP远程连接的数据,提取秘钥,可配合wireshark对抓到的rdp流量解密。

 

 

powersh

对内存中的(隐藏)powershell进程进行分析

 

 

wnf

https://github.com/citronneur/volatility-wnf/

进程的subscribers 信息分析

 

 

LinuxFirefox

参数:

    linux_ffhis    查看历史记录

    linux_ffcookies    查看cookie

 

vmtools

扫描镜像内vmtools的相关信息

 

browserhooks

https://github.com/eset/volatility-browserhooks

木马钩子探测

 

SystemInfo

自动获取取证所需的基本系统信息,例如系统名称、时区、关机时间、安装信息等下

参数: systeminfo

volatility --plugins=./community/GlennEdwards  -f memory  systeminfo

 

usbstor

从注册表中读取Usb设备插入信息

参数:usbstor

volatility --plugins=./community/JamesHall_KevinBreen  -f memory  usbstor

 

LastPass

从浏览器内存空间中读取账户密码信息

参数:lastpass

 

dyrescan

dyre木马扫描

 

 

bitlocker

./community/MarcinUlikowski/
这个插件能找到并提取BitLocker全卷加密密钥(FVEK),可以用来解密BitLocker卷。

只支持:Windows Vista/7

volatility --plugins=./community/MarcinUlikowski/ -f win7-memory  --pro file=Win7SP1x86  bitlocker

 

volatility-bitlocker

./community/ThomasWhite

https://github.com/tribalchicken/volatility-bitlocker

上面插件的同类插件,支持win7、 8、 10

 

 

 

使用介绍:

如何获得bitlocker秘钥并解密磁盘

https://tribalchicken.com.au/technical/recovering-bitlocker-keys-on-windows-8-1-and-10/

备注:可以使用EFDD ( Elcomsoft Forensic Disk Decryptor)快速解密

 

SqliteFind

https://github.com/mbrown1413/SqliteFind

可以从内存中找出sqlite数据库信息

 

vivedump

./community-master/PeterCasey

VR设备信息解析

 

 

vol-openvpn

PhilipHuppert/openvpn

https://github.com/Phaeilo/vol-openvpn

OpenVPN 证书解析:

volatility -f "OpenVPN-2.3.4 XP 32.elf" --profile=WinXPSP3x86 openvpn

 

autoruns

https://github.com/tomchop/volatility-autoruns

列出自启动程序:

volatility --plugins=./community/ThomasChopitea -f win7-memory --profile=Win7SP1x86  autoruns

 

filevault2

目录:./community/ThomasWhite

解析Apple FileVault 2 Volume密钥

https://github.com/tribalchicken/volatility-filevault2

 

osint

https://github.com/tranvienha/volatility-osint

解析出不同进程中的url和ip

 

 

WMDF

基于volatility的windows图形化内存分析工具

https://drive.google.com/file/d/0B-vpxT5wQCuSdEFxNVdCeHF0a0U/view

 

APT扫描探测插件

https://github.com/JPCERTCC/aa-tools

 

superponible插件项目

https://github.com/superponible/volatility-plugins

 

uninstallinfo.py - Dumps HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall from memory

prefetch.py - scan memory for prefetch files and dump filename and timestamps

idxparser.py - scan memory Java IDX files and extract details

firefoxhistory.py - firefoxhistory, firefoxcookies, and firefoxdownloads plugins to extract the following firefox history data: moz_places, moz_cookies, and moz_downloads

chromehistory.py - chromehistory, chromevisits, chromesearchterms, chromedownloads, chromedownloadchains, and chromecookies plugins to extract Chrome SQLite artifacts

sqlite_help.py - supporting functions SQLite used in Firefox and Chrome plugins

trustrecords.py - extract Office TrustRecords registry key information

ssdeepscan.py - like yarascan, but searches for pages matching an ssdeep hash

malfinddeep.py - whitelist code found by malfind based on an ssdeep hash

apihooksdeep.py - whitelist code found by apihooks based on an ssdeep hash

 

标签:插件,volatility2,--,简介,https,plugins,com,volatility
来源: https://blog.csdn.net/q851579181q/article/details/110956485