CTF必备取证神器

在CTF比赛中好的工具往往能让解题变得顺利，在取证题中更是如此，神器让flag无处可藏

接下来会分别介绍几个取证工具安装和使用

  • volatility
  • PTF
  • 取证大师
  • Magnet AXIOM

volatility

Volatility是一款开源内存取证框架，能够对导出的内存镜像进行分析，通过获取内核数据结构，使用插件获取内存的详细情况以及系统的运行状态

vol 存在多个版本

使用

使用的话 python 直接拿来用就行了，以提取vmem格式内存文件中的win密码为例，题目下载地址：aliyundrive.com/s/v2Bs9

我使用的vol2既python2版本的

首先查看镜像信息

volatility -f Target.vmem imageinfo



查看密码

volatility -f Target.vmem --profile=Win7SP1x64 hashdump



使用插件mimikatz提取明文密码

kali自带的volatility安装插件
1.安装依赖库：sudo pip install construct==2.5.5-reupload
2.将解压后的py文件复制到原生插件所在的目录下面
/usr/lib/python2.7/dist-packages/volatility/plugins
volatility -f Target.vmem --profile=Win7SP1x64 mimikatz



PTF

这是一个专门找密码的软件，相当于mimikatz

Passware Kit Forensic 2021

下载链接：aliyundrive.com/s/54Zr4

安装

双击exe文件安装，注意安装过程中跳过输入产品密钥步骤，等安装完毕进入界面时输入LIcense：999999999996QMYCNZ7XEJ98S49E3UYGS49E3SWF

使用

以提取vmem格式内存文件中的win密码为例

因为vmem文件属于内存文件，所以选择Memory Analysis



选择文件，选择系统版本，只选windows速度会快，点击next



软件很快就跑出了密码



取证大师

国产综合类取证工具

安装

去美亚柏科微信公众号找客服要，记得自己是相关专业学生，做实验用，就可以拿到3个月试用版

安装前下载安装 revo，此工具会记录安装软件安装时注册表的变化，卸载软件时删除相关注册表，可以反复试用



右击取证大师安装文件选择使用revo安装，安装结束后使用即可

使用

题目附件：pan.baidu.com/s/1XPGe-C
提取码：9k9n

下载解压，首先新建案例打开文件夹



可以看到取证结果

Magnet AXIOM

国外的一款图形化取证工具，功能类似于取证大师

下载链接：aliyundrive.com/s/EpRbe

安装

下载链接：

图形化安装很简单，安装后需要替换文件，把这两个文件夹复制到软件安装目录，全部替换



使用

还是用上个附件

新建案例，选择证据源计算机，选择文件和文件夹



选择合适系统，分析证据，分析过程中cpu占用比较大，时间也比较久



时间是真的比较久



总结下吧

  • volatility就是专用于内存取证的工具，非常的强大，其他几个软件内存分析也是基于volatility进行的
  • 其他三个工具都是综合的取证工具，可以用于内存取证也可以用于磁盘取证，整体功能比较强大，当然文件也是比较大，而且都需要一定程度的pojie才能使用
编辑于 2021-10-29 23:11
CTF（Capture The Flag）
信息安全
取证