| -f | 文件名 |
|---|---|
| -l | 位置 |
| -w | 写操作 |
| Q | 进程号 |
| imageinfo | 内存镜像的基本信息 |
| iehistory | 查看浏览进程 |
| - k | KPCR指定一个特定KPCR地址 |
1、查看基本信息，根据查到的信息确定profile的值
volatility -f 文件.vmem imageinfo
2、指定profile，使用具体的命令
iehistory 是看浏览器的进程，pslist是ps命令(也可以用psscan)，等等
volatility -f BOOM-6452e9b9.vmem --profile=Win7SP1x64 iehistory
3、Kdbgscan
这个插件可以扫描文件的profile的值，通常扫描结果有多个，只有一个结果是完全正确的，kdbgscan和imageinfo都只适用于windows的镜像
Kdbgscan
4、Pslist
volatility -f wuliao.data --profile=Win7SPx64 pslist
pslist可以直接列出运行的进程，如果进程已经结束，会在Exit列显示日期和时间，表明进程已经结束
5、Hivelist
列举缓存在内存中的注册表
volatility -f wuliao.data --profile=Win7SP1x64 hivelist
6、对文件查找及dumo提取某个进程：
7、密码hashdump
工具指令篇
本文链接：https://my.lmcjl.com/post/11518.html
展开阅读全文
4 评论