首页 > TAG信息列表 > Win7SP1x64
ctfshow 摆烂杯 取证部分
JiaJia-CP-1 点击查看代码 1.佳佳的电脑用户名叫什么(即C:\Users{name}) 2.最后一次运行计算器的时间？(格式为yyyy-mm-dd_hh:mm:ss，注意冒号为英文冒号) 先查看一波镜像版本 volatility -f JiaJia_Co.raw imageinfo 然后按提示说的filescan Users volatility -f JiaJia_Co.rawvolatility内存取证分析实战
这个是我的实验报告，我感觉写的还挺用心的hhhhh有需要实验出现的靶机或者工具的可以留言 一、实验目的 了解内存转储方法，并能利用相关工具生成内存转储文件。掌握计算机取证工具DumpIt的使用方法，并用其实现Windows主机的物理内存转储。 掌握Volatility内存取证的方法并进行实践，能够一篇适用于本人电脑的kali机volatility取证教程
下载地址 https://www.volatilityfoundation.org/26 直接点进去下Linux版本的，然后解压缩包把文件放到usr/sbin文件夹（习惯） 把文件夹和可执行文件都改名为volatility（在root下进行） 配置环境变量 export PATH=/usr/sbin/volatility:$PATH 配置完检查 echo $PATH 有刚才这个路径就成