volatility常用的命令

命令格式:volatility -f <文件名> --profile=<配置文件> <插件> [插件参数]

例如:volatility -f 1.raw --profile=Win7SPx64 volshel

判断内存镜像系统版本信息

Volatility -f 文件 imageinfo

volatility常用的命令_第1张图片

查看进程

Volatility -f 文件 --profile=版本号 pslist

volatility常用的命令_第2张图片

查看启动项

Volatility -f 文件 --proflie=版本号 hivelist

volatility常用的命令_第3张图片

查看sid

getsids -p指定pid pid704

volatility常用的命令_第4张图片

截图,screenshot --dump-dir ./

内存地址,hivelist

volatility常用的命令_第5张图片

查看开机自启程序, volatility_2.6.exe -f 1.raw --profile=Win7SP1x64 -o 0xfffff8a0008bb010 printkey -K "Microsoft\Windows\CurrentVersion\Run"

-o指定内存地址  -K指定路径

volatility常用的命令_第6张图片

你可能感兴趣的:(网络安全)