应急响应取证篇 conv.docxVIP

应急响应之取证篇

笔记本： 应急创建时间： 2022/11/29:33

1、简述2、windows系统

2.1内存取证

2.1.1DumpIt提取内存信息2.2硬盘取证

3、linux系统

3.1内存取证3.2硬盘取证

1、简述

在用户遭受到攻击时，除了进行快速响应，可能还会进行取证，主要是对内存、硬盘、入侵流量、浏览器历史等方面内容进行取证。针对vmware虚拟环境，取证相对比较简单，直接拷贝相关目录下虚拟机目录即可，本文主要是对非虚拟环境系统进行取证，分别介绍常见的linux、windows系统。

2、windows系统

2.1内存取证

针对虚拟机获取内存，暂停vm并取出.vmem文件即可，很多木在马程序都有较高的隐秘性，可能会修改系统调用的返回值，但是在内存中的数据是真实存在的，所以在应急的时候如果无法从系统中找到痕迹，可看看内存中是否有相关字段，尤其是针对一些仅存于内存中，关机就消失的情况，内存取证是最好的办法。针对内存取证主要介绍两种工具，dumplt、volatility两种工具。

2.1.1DumpIt提取内存信息

取证过程：工具下载地址：

/search?q=dumpit

该软件大小只有200k，使用也比较简单，直接运行就会将内存存储到raw文件中

运行完成后在当前目录下生成内存存储文件

内存分析过程：redline:

取证结束接下来就是进行内存分析，内存分析采用redline工具工具下载地址：

https://fireeye.market/apps/211364

下载之后进行安装即可，安装完成后界面如下，双击已经获取内存镜像，加载之前保存的镜像即可(在进行内存备份时，由于系统使用情况的不同，所以最终备份的大小也不同，有的可能几十个g,所以在备份时建议使用大的硬盘或盘）)

加载完raw文件下一步后可编辑script脚本，主要修改内容如下，勾选strings选框

加载的后的页面如下，由于我保存后的内存大小大约为5G，所以过程可能会慢一些

在打开该软件进行分析时就一直卡在这里，所以还是建议利用Volatility进行分析。Volatility:

该软件功能还是很强大的，是用python编写，下载地址：

/volatilityfoundation/volatility

上述地址为volatility2.6的版本，所以首先需要python2.7的环境，具体安装过程可参考网上资料：

/archives/%E7%94%B5%E5%AD%90%E6%95%B0%E6%8D%AE%E5%8F%96%E8%volatility

介绍几个常用的功能：

vol.py-h

查看一些常用的的用法

vol.py-fwin.rawimageinfo查看备份镜像相关信息

vol.py-fwin.raw--profile=Win7SP1x64pslist查看内存中运行的进程信息

查看注册表中的用户信息：

vol.py-fwin.raw--profile=Win7SP1x64printkey-KSAM\Domains\Account\Users\Names

获取系统最后登录的账号

vol.py-fwin.raw--profile=Win7SP1x64printkey-KSOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon

获取当前用户正在运行的程序

vol.py-fwin.raw--profile=Win7SP1x64userassist

显示cmd历史命令

vol.py-fwin.raw--profile=Win7SP1x64cmdscan

查看网络连接，已经侦听、建立、关闭的连接

查看ie浏览记录

vol.py-fwin.raw--profile=Win7SP1x64iehistory

时间线：

vol.py-fwin.raw--profile=Win7SP1x64timeliner

从多个位置收集大量活动信息

查看密码：

vol.py-fwin.raw--profile=Win7SP1x64hashdump

hash破解网站：

/

内存文件搜索，由于搜索的文件会比较多，可用grep进行过滤，很多时候可能需要分析的数据很多可利用aa.txt,这样就可以将文件保存下来，封方便去查看。

vol.py-fwin.raw--profile=Win7SP1x64filesacn|grepnessus

文件转储：

vol.py-fwin.raw--profile=Win7SP1x64dumpfiles-Q0x00000000523