vol2取证-入门向

在现在的CTF比赛中取证题目越来越常见，作为一个可得较大分数的题型，需要更加深入的学习。

记一篇入门向的vol2取证，结合基础知识以及例题呈现。

简介

Volatility是一款开源的基于 Python 开发的内存分析框架，它自带的分析插件支持分析内存镜像中所保留的历史网络连接信息、历史进程、历史命令记录等等。它可以分析 .raw、.vmem、.img 后缀的文件。

认识文件

常见文件类型：

• • .vmem文件虚拟机内存页面文件，备份了客户机里运行的内存信息。这个文件只有在虚拟机运行时或崩溃后存在

• • .vmdk文件虚拟机的磁盘文件，它储存了虚拟机硬盘驱动器里的信息

• • .raw文件本机的内存镜像文件

VMware 虚拟机在 EXSi 宿主机上的文件类型：

volatility2基本命令

(加粗为常用命令)

先以例题的方式熟悉一下流程

例题解析

[鹏城杯 2022]简单取证

查看镜像信息

得到版本为WinXPSP2x86,再看看进程

看到了secret.jpg，提取出来

打开发现是base64的逆序zip

脚本还原，发现还原的zip有密码

f1=open('secret.jpg','rb')
f2=open('1.zip','wb')
f2.write(f1.read()[::-1])
f1.close()
f2.close()

获取cmd输入的内容，找到密码

打开发现应该是个坐标绘图，使用工具gnuplot

扫码得到flag：flag{a6b93e36-f097-11ec-a9b2-5254002d2b31}

[陇剑杯 2021]内存分析

问（1）网管小王制作了一个虚拟机文件，让您来分析后作答：虚拟机的密码是________。

volatility 2.6 打开查看信息

得到版本为Win7SP1x64，需要得到密码，使用hashdump

发现抓取出来的hash无法直接解密，尝试直接抓取明文，使用lsadump

得到flag：flag{W3lCoM3_T0_THIiS_34SY_FOR3NSiCX}

当然这里也可以用插件mimikatz，这里也介绍一下安装方式

mimikatz插件安装

mimikatz插件地址

https://github.com/volatilityfoundation/community/blob/master/FrancescoPicasso/mimikatz.py

此插件需要这个construct库的支持

复制到你对应的volatility/volatility/plugins/下

例如我这里是root/桌面/volatility/volatility/plugins/

使用时在 -f 前指定对应的路径即可 --plugins=

vol.py --plugins=/root/桌面/volatility/volatility/plugins/ -f /root/桌面/WIN-DOOJTVIN21M-20231005-091206.raw --profile=Win7SP1x64 mimikatz

常见问题

如果出现

*** Failed to import volatility.plugins.mimikatz (AttributeError: 'module' object has no attribute 'ULInt32')

就是construct版本的问题

sudo pip uninstall construct
sudo pip install construct==2.5.5-reupload

这时就可以正常使用了

volatility2的基础技巧总结

filescan快速筛选

 filescan | grep -E "jpg|png|bmp|gif|zip|rar|7z|pdf|txt|rtf|doc|ccx|kdbx|vera|py|dmp"

kdbx(keepass) ccx(Cncrypt) vera（VeraCrypt）

（.dmp文件是windows系统中的错误转储文件，当Windows发生错误蓝屏的时候，系统将当前内存【含虚拟内存】中的数据直接写到文件中去，方便定位故障原因。）

filescan | grep "Desktop"

filescan | grep -iE "flag|ctf"

filescan | grep -iE "flag|.zip$|.rar$|.7z$|.txt$|.png$|.jpg$|.gif$|.pdf$|.doc$|.docx$|.pcapng$|.raw$|.kdbx$"

查看hostname

这里利用了注册表内储存了相关信息

volatility -f example.raw --profile=版本号 hivelist

主机名会储存在REGISTRYMACHINESYSTEM中的ControlSet001ControlComputerNameComputerName条目中，可以直接读取

volatility -f example.raw --profile=Win7SP1x64 printkey -o 0xfffff8a000024010 -K "ControlSet001ControlComputerNameComputerName"

或者

volatility -f example.raw --profile=Win7SP1x64 printkey -o 0xfffff8a000024010 -K "ControlSet001ServicesTcpipParameters"

查看系统用户名

volatility -f example.raw --profile=版本号 printkey -K "SAMDomainsAccountUsersNames"

dump运用

dump可疑文件加以分析

volatility -f example.raw --profile=版本号 dumpfiles -Q 偏移量 --dump-dir=保存路径

dump可疑进程加以分析

volatility -f example.raw --profile=版本号 memdump -p PID --dump-dir=保存路径

查看网络连接

volatility -f example.raw --profile=版本号 netscan

查看截图

volatility -f example.raw --profile=版本号 screenshot --dump-dir=保存路径

查看内存中的cmd命令使用情况

volatility -f example.raw --profile=版本号 cmdscan

volatility -f example.raw --profile=版本号 cmdline

使用插件 mimikatz 抓取系统口令

volatility -f example.raw --profile=版本号 mimikatz

有时 lsadump也可以

volatility -f example.raw --profile=版本号 lsadump

获取最后登陆系统用户

volatility -f 1.raw  --profile=版本号 printkey -K "SOFTWAREMicrosoftWindows NTCurrentVersionWinlogon"

导出日志

volatility -f 1.raw  --profile=版本号 evtlogs --dump-dir logs/

内存取证的思路总结

先使用imageinfo命令即可获取镜像信息

filescan查看是否存在可疑文件，结合dumpfile、memdump命令尝试取出进行进一步分析

分析进程，如pstree、pesscan、pslist查找可疑进程，如mspaint.exe（绘图进程）

同时关注一下命令行信息、浏览器历史记录以及用户密码，或许能得到启发

注册表内的信息利用

注册表（英语：Registry）是Microsoft Windows操作系统和其应用程序中的一个重要的层次型数据库

用于存储系统和应用程序的配置信息

Windows 注册表是 Windows 系统的一个非常丰富的信息来源。取证人员可以通过提取注册表中的数据了解到当前系统的大部分细节

主要配置单元有：

• • SYSTEM：对应的注册表分支为HKEY_LOCAL_MACHINESYSTEM，对应的存储文件是WindowsSystem32configSYSTEM，其作用是存储计算机硬件和系统的信息。

• • NTUSER.DAT：对应的注册表分支是HKEY_CURRENT_USER，存储在用户目录下，与其他注册表文件是分开的，主要用于存储用户的配置信息。

• • SAM：分支是HKEY_LOCAL_MACHINESAM，存储在C:WindowsSystem32configSAM文件中，保存了用户的密码信息。

• • SECURITY：对应的分支HKEY_LOCAL_MACHINESECURITY，存储在C:WindowsSystem32configSECURITY文件中，保存了安全性设置信息。

• • SOFTWARE：分支是HKEY_LOCAL_MACHINESOFTWARE，文件存储在C:WindowsSystem32configSOFTWARE中，保存安装软件的信息

实操演示

如需获取的是 Tom 用户的信息，因此我们把来自 Tom 的 ntuser.dat 提取为注册表文件

利用 dumpregistry 转储内存中注册表信息至磁盘

volatility -f windows.vmem --profile=版本号 dumpregistry -o 偏移量 -D 保存路径

导出的 .reg 文件实际上是一种windows操作系统的注册表脚本文件

可利用注册表工具 Windows Registry Recovery 或 RegistryExplorer打开进行下一步利用

在SoftwareMicrosoftWindowsCurrentVersionExplorerUserAssist\Count路径下可以找到 exe文件 的最后运行时间

Windows 注册表中关于用户的细节位于 SAM 表

可在SAMDomainsAccountUsers这个路径下得到一些细节信息，如最后一次密码输入错误的时间

近期打开文件的记录存储在 NTUSER.DAT 的 RecentDocs 键中

可在SoftwareMicrosoftWindowsCurrentVersionExplorerRecentDocs路径下得到想要查询的文件打开记录

拓展

当然在一般情况下，只使用volatility2来进行取证分析是不够的，还得结合一些别的工具，如DiskGenius,RStudio,WRR等工具。

同样的内存取证也只是取证题型里的冰山一角。注册表取证、安卓机取证、数据库取证等也是我们后续需要学习的。

在某些场景下的取材安全性是不能保障的，建议在虚拟机环境下使用，可疑exe文件记得先放云沙箱。

往期精选

DASCTF X HDCTF 2024｜生而无畏战

2024-05-22

安恒书院首场！2024年嘉兴市职业技能竞赛—网络安全技能竞赛顺利举办

2024-05-24

安恒培训｜六月认证培训开课了！热门课程火热报名中～

2024-05-23