应急响应取证篇 conv.docxVIP

应急响应之取证篇

笔记本： 应急创建时间： 2022/11/29:33

1、简述2、windows系统

2.1内存取证

2.1.1DumpIt提取内存信息2.2硬盘取证

3、linux系统

3.1内存取证3.2硬盘取证

1、简述

在用户遭受到攻击时，除了进行快速响应，可能还会进行取证，主要是对内存、硬盘、入侵流量、浏览器历史等方面内容进行取证。针对vmware虚拟环境，取证相对比较简单，直接拷贝相关目录下虚拟机目录即可，本文主要是对非虚拟环境系统进行取证，分别介绍常见的linux、windows系统。

2、windows系统

2.1内存取证

针对虚拟机获取内存，暂停vm并取出.vmem文件即可，很多木在马程序都有较高的隐秘性，可能会修改系统调用的返回值，但是在内存中的数据是真实存在的，所以在应急的时候如果无法从系统中找到痕迹，可看看内存中是否有相关字段，尤其是针对一些仅存于内存中，关机就消失的情况，内存取证是最好的办法。针对内存取证主要介绍两种工具，dumplt、volatility两种工具。

2.1.1DumpIt提取内存信息

取证过程：工具下载地址：

KWWSVZZZWRROZDUFRPVHDUFKTGXPSLW

该软件大小只有200k，使用也比较简单，直接运行就会将内存存储到raw文件中

运行完成后在当前目录下生成内存存储文件

内存分析过程：redline:

取证结束接下来就是进行内存分析，内存分析采用redline工具工具下载地址：

KWWSVILUHH\HPDUNHWDSSV

下载之后进行安装即可，安装完成后界面如下，双击已经获取内存镜像，加载之前保存的镜像即可(在进行内存备份时，由于系统使用情况的不同，所以最终备份的大小也不同，有的可能几十个g,所以在备份时建议使用大的硬盘或盘）)

加载完raw文件下一步后可编辑script脚本，主要修改内容如下，勾选strings选框

加载的后的页面如下，由于我保存后的内存大小大约为5G，所以过程可能会慢一些

在打开该软件进行分析时就一直卡在这里，所以还是建议利用Volatility进行分析。Volatility:

该软件功能还是很强大的，是用python编写，下载地址：

KWWSVJLWKXEFRPYRODWLOLW\IRXQGDWLRQYRODWLOLW\

上述地址为volatility2.6的版本，所以首先需要python2.7的环境，具体安装过程可参考网上资料：

KWWSVZZZEQHVV\FRPDUFKLYHV(%($(%($(()(YRODWLOLW\

介绍几个常用的功能：

YROS\K

查看一些常用的的用法

YROS\IZLQUDZLPDJHLQIR??????????

YROS\IZLQUDZSURILOH:LQ63[SVOLVW????????????

查看注册表中的用户信息：

YROS\IZLQUDZSURILOH:LQ63[SULQWNH\.6$0?RPDLQV?$FFRXQW?8VHUV?1DPHV

获取系统最后登录的账号

YROS\IZLQUDZSURILOH:LQ63[SULQWNH\.62)7:$5(?0LFURVRIW?:LQGRZV17?XUUHQW9HUVLRQ?:LQORJRQ

获取当前用户正在运行的程序

YROS\IZLQUDZSURILOH:LQ63[XVHUDVVLVW

显示cmd历史命令

YROS\IZLQUDZSURILOH:LQ63[FPGVFDQ

查看网络连接，已经侦听、建立、关闭的连接

查看ie浏览记录

YROS\IZLQUDZSURILOH:LQ63[LHKLVWRU\

时间线：

YROS\IZLQUDZSURILOH:LQ63[WLPHOLQHU

从多个位置收集大量活动信息

查看密码：

YROS\IZLQUDZSURILOH:LQ63[KDVKGXPS

hash破解网站：

KWWSVFUDFNVWDWLRQQHW

内存文件搜索，由于搜索的文件会比较多，可用grep进行过滤，很多时候可能需要分析的数据很多可利用aa.txt,这样就可以将文件保存下来，封方便去查看。

YROS\IZLQUDZSURILOH:LQ63[ILOHVDFQ_JUHSQHVVXV

文件转储：

YROS\IZLQUDZSURILOH:LQ63[GXPSILOHV4[DIG

进程转存，将看到的可疑进程存储下来

看了很多资料Volatility在ctf中取证题目中这个工具用到的比较多，在应急场景中也是可以用到的，方便进行后续的分析以及证据留存，还有很多其他的命令具体可参考网上前辈整理的一些资料：

KWWSVPUHWRSSRVWVFHHI

2.2硬盘取证

想来想去