内存取证——文件文件 notepad里的秘密（二）

78 阅读 0 评论 52 点赞

我是靠谱客的博主无辜啤酒，最近开发中收集的这篇文章主要介绍内存取证——文件文件 notepad里的秘密（二），觉得挺不错的，现在分享给大家，希望可以做个参考。

文件 notepad里的秘密（二）

文接上文，前一篇关于内存取证读取进程。
这篇总结一下，内存取证读取文件。

step1:常规操作，先读取内存类型：

step2:可以得到profile类型 WinXPSP2x86 -f 指定文件。看进程？还像上一题？不存在的！

出来很多文件，但是没有notepad进程。

step3：昨天阅读帮助，今天又读了一遍，发现我们除了进程，还可以查看文件，
命令：volatility -f 2.raw pslist --profile=WinXPSP2x86
发现文件很多，又因为提示说：在flag.txt里，所以grep flag.txt

果然有收获！

step4：下面就是读这个文件呗！问题来了，又不是在我们电脑上的文件，怎么读?看了强哥的博客，明白了！
dumpfile命令！

各个参数都研究了一遍，最后一个参数是新遇到的，地址偏移量。
百度得：文件中的地址与内存中表示不同，它是用偏移量(File offset)来表示的。在SoftICE和W32Dasm下显示的地址值是内存地址

step5 ：这个文件已经保存到我的机器上，直接cat，就得到flag了！

-----更新于2018.319，将丢失的图片补全（之前不会用markdown，用HTML编辑器导致图片丢失，一直没有发现）-----

如果觉得靠谱客网站的内容还不错，欢迎将靠谱客网站推荐给程序员好友。

本图文内容来源于网友提供，作为学习参考使用，或来自网络收集整理，版权属于原作者所有。