标签：显示 操作 进程启动 explore windows系统 slist 表示 查看 emma
The Art of Memory Forensics真是一本很棒的书籍，其中使用volatility对内存进行分析的描述可以辅助我们对更高级类的木马进行分析和取证，这里对书中的命令进行了笔记记录。
与分析Linux镜像相似，而Windows系统的profile都是volatility自带的，无需再制作。
查看正在分析的内存样本的摘要信息。显示主机所使用的操作系统版本、服务包以及硬件结构(32位或64位)、页目录表的起始地址和该获取该内存镜像的时间等信息。显示出当前所支持的元数据系统。
使用PSSCAN命令。可以找到以前终止的进程（非活动）和被rootkit隐藏或未链接的进程。输出显示ping.exe、ipconfig.exe两个进程启动与退出时间。
列出系统进程，显示偏移量、进程名称、进程ID、父进程ID、线程数、句柄的数量，以及进程启动和退出时的日期/时间。
查看以树形形式列出的进程，与pslist显示的技术一样，但不会显示隐藏或未链接的进程。子进程使用缩进和句点表示。
查看与进程关联的SIDs(安全标识符)，识别恶意升级特权的进程，以及哪些进程属于特定的用户。例子中以explorer.exe为示例，其中一个SID (S-1-5-21-[snip]-1115)没有显示帐户名称。
EXE是管理员的成员组。在这个特殊的场景，攻击者组合了一个毒葛(PI)远控。(RAT)使用一个Pass the Hash (PtH)攻击。
许多攻击者都依赖于像net view和net use这样的命令来探索周围环境。通过远程驱动器功能获取对服务器的读访问权限,在内网进行横向运动。
在内存中找到远程映射驱动器的证据，可通过查找文件句柄实现。使用handles命令可查看文件、注册表键、互斥锁、命名管道、事件、窗口站、桌面、线程和所有其他类型的可保存执行对象。
另一种检测远程映射共享的方法，可以结合使用。通过symlinkscan插件检查符号链接。
要在一个进程中提取所有内存驻留页面，可使用memdump命令将系统进程的可寻址内存提取到单个文件之中。
Yara是Victor M. Alvarez (http://plusvic.github.io/yara)的一个快速灵活的工具。在任意数据集内的模式匹配。Yarascan命令可以通过虚拟内存进行扫描，可以指定PID扫描，扫描规则除了使用字符也可以使用匹配规则文件。
【取证分析】The Art of Memory Forensics-Windows取证(Virut样本取证)
标签：显示 操作 进程启动 explore windows系统 slist 表示 查看 emma
原文地址：https://www.cnblogs.com/17bdw/p/9030715.html
