[01] Volatility 시작하기 :: Anti Memory Forensics/Volatility

Volatility?

파이썬 기반의 오픈 소스 메모리 포렌식 툴

CLI 인터페이스를 제공한다.

플러그인 형태로 다양한 기능들을 제공하는데, 자신이 직접 플러그인을 만들어서 사용 가능

 

Volatility 플러그인

pstree : 프로세스를 트리구조로 출력

pslist : 프로세스 리스트 출력 (가상 주소)

psscan : 프로세스 리스트 출력 (물리적 주소)

psxview : 프로세스 은닉 탐지를 위해 다양한 방식으로 프로세스 등을 조회

procdump : 프로세스 실행파일 추출

memdump : 프로세스가 사용한 전체 메모리 영역 덤프

filescan : 메모리상의 파일 오브젝트 전체 검색

hivelist : 메모리상의 파일

cmdscan : cmd에서 실행한 명령어 확인

cmdline : cmd에서 실행한 명령어 이력 확인

netscan : 네트워크 연결 등 확인

imageinfo : 이미지 정보 확인

hh() : volshell의 타입 확인

ps() : 활성화되어있는 프로세스들 확인

dt() : 구조체 변수 출력

dt("KDDEBUGGER_DATA64") : 커널 구조체
dt("EPROCESS") : 프로세스 구조체
dt("OBJECT_HEADER") : 오브젝트 구조체
dt("POOL_HEADER") : 풀 헤더 구조체

* 구조체는 변수를 효율적으로 사용하게 해준다.

 

Volatility 시작하기

설치해둔 Volatility가 있는 폴더로 들어간다.

경로가 있는 창에 cmd를 입력해 명령 프롬프트를 켠다.

sample.vmem은 volatility에서 사용할 파일. 아까 그 폴더에 같이 있어야 함

python vol.py -f 사용할파일명 --profile=Win7SP1x64 volshell 명령어를 통해 volatility 시작

 

 

[출처]

https://wave1994.tistory.com/31

https://blog.naver.com/i1004yu/221988164655