Sécurité du réseau dans les écoles professionnelles secondaires - preuve de mémoire

volatility -f test2.raw imageinfo

Obtenir les détails du miroir profileLes paramètres sont importants Je l'utiliserai plus tard.

volatility -f test2.raw --profile=Win7SP1x64 hashdump

Obtenir un miroirhashValeur et nom d'utilisateur Vous pouvez utiliserjohnOutils pour déchiffrer le Dictionnaire Ou utiliserophcrackCrack

S'il y avaitmimikatzPlug - in Peut être utilisé directementmimikatzPour le déchiffrer. Sortie directe du mot de passe

Et l'autre est lsadump Un mot de passe qui sort par intermittence Pas complètement

volatility -f test2.raw --profile=Win7SP1x64 netscan Voir les connexions réseau

Il y aura beaucoup d'informations Ici.ip D'après les ports ouverts, on a décidé que 10.30.21.96 Détecter dans la machine virtuelle Et c'est vrai

volatility -f test2.raw --profile=Win7SP1x64 envars | grep USERNAME

Vous pouvez voir le nom de l'hôte , Attention à enlever les $ Symbole

Accèsflag Document Thought ：

1. Obtenir le nom du fichier de bureau , Devinez son contenu

volatility -f test2.raw --profile=Win7SP1x64 filescan | grep Desktop

Vous pouvez voir les fichiers sur le Bureau Mais son contenu n'a pas pu être lu

2. Peut - être que le Bureau a ouvert un notepadProcédure UtilisernotepadLes paramètres peuvent voir

volatility -f test2.raw --profile=Win7SP1x64 notepad

Idées sur le processus minier ：

1. Trouvez d'abord le processus avec un nom anormal Par exemple,Explore.exe Le processus original du système est explorer.exe

2. Dans le cas de l'État de Wei, l'heure de début du processus de surveillance du système À en juger par l'heure de début

3. De toute façon, seuls les ports de commit et ip, Trouver l'extérieur ipUn essai après l'autre

volatility -f test2.raw --profile=Win7SP1x64 netscan/connscan

volatility -f test2.raw --profile=Win7SP1x64 svcscan

volatility -f test2.raw --profile=Win7SP1x64 hivelist

Obtenir l'historique du navigateur

volatility -f test2.raw iehistory

Je vais en donner un.url Les paramètres à l'intérieur montrent ce qui a été recherché