应急响应取证篇.pdfVIP

应急响应之取证篇

笔记本：应急

创建时间：2022/11/29:33

1、简述

2、windows系统

2.1内存取证

2.1.1DumpIt提取内存信息

2.2硬盘取证

3、linux系统

3.1内存取证

3.2硬盘取证

1、简述

在用户遭受到攻击时，除了进行快速响应，可能还会进行取证，主要是对内存、硬盘、入

侵流量、浏览器历史等方面内容进行取证。针对vmware虚拟环境，取证相对比较简单，直

接拷贝相关目录下虚拟机目录即可，本文主要是对非虚拟环境系统进行取证，分别介绍常

见的linux、windows系统。

2、windows系统

2.1内存取证

针对虚拟机获取内存，暂停vm并取出.vmem文件即可，很多木在马程序都有较高的隐秘

性，可能会修改系统调用的返回值，但是在内存中的数据是真实存在的，所以在应急的时

候如果无法从系统中找到痕迹，可看看内存中是否有相关字段，尤其是针对一些仅存于内

存中，关机就消失的情况，内存取证是最好的办法。针对内存取证主要介绍两种工具，

dumplt、volatility两种工具。

2.1.1DumpIt提取内存信息

取证过程：

工具下载地址：

/search?qdumpit

该软件大小只有200k，使用也比较简单，直接运行就会将内存存储到raw文件中

运行完成后在当前目录下生成内存存储文件

内存分析过程：

redline

取证结束接下来就是进行内存分析，内存分析采用redline工具

工具下载地址：

https://fireeye.market/apps/211364

下载之后进行安装即可，安装完成后界面如下，双击已经获取内存镜像，加载之前保存的

镜像即可(在进行内存备份时，由于系统使用情况的不同，所以最终备份的大小也不同，有

的可能几十个g,所以在备份时建议使用大的硬盘或盘）)

加载完raw文件下一步后可编辑script脚本，主要修改内容如下，勾选strings选框

加载的后的页面如下，由于我保存后的内存大小大约为5G，所以过程可能会慢一些

在打开该软件进行分析时就一直卡在这里，所以还是建议利用Volatility进行分析。

Volatility

该软件功能还是很强大的，是用python编写，下载地址：

/volatilityfoundation/volatility

上述地址为volatility2.6的版本，所以首先需要python2.7的环境，具体安装过程可参考网

上资料：

/archives/%E7%94%B5%E5%AD%90%E6%95%B0%E6%8D%AE%E5%8F%96%E8%

volatility

介绍几个常用的功能：

vol.py-h

查