Kail内存取证简要

xmount挂载e01格式磁盘文件

​

​xmount --in ewf --out vdi --cache ./Disk.cache ./PLEXTOR\ PX-128M5Pro.e01 ./mnt/

输出的vdi格式文件可以通过virtualbox 还原

• --out vdi 为输出镜像格式
• ./Disk.cache ./****.e01 为检材文件格式，有关更多 E01 格式可参考
• ./mnt 为目标挂在卷，输出的vdi格式镜像将会被挂载到此目录下

bulk_extractor内存取证

​bulk_extractor -o ./out DESKTOP-D7AP30M-20200605-082800.raw 

获取url访问历史、电话号码、email等信息并输出到./out目录下

有关bulk_extractor详细用法可

参考

volatility 内存取证

volatility文档 command

volatility -f DESKTOP-D7AP30M-20200605-082800.raw imageinfo #获取镜像信息
volatility -f DESKTOP-D7AP30M-20200605-082800.raw --profile=Win10x64_17134 pslist #列出进程
volatility -f DESKTOP-D7AP30M-20200605-082800.raw --profile=Win10x64_14393 truecryptsummary #列出加密摘要      

url_decode

python有url转中文字符的库

# coding:utf-8
import urllib.parse

with open('url_keyword.txt') as f:
    result = f.read()
    print(urllib.parse.unquote(result))