Day 3 數位鑑識 製作記憶體分析檔案(mem)

更新於 發佈於 閱讀時間約 2 分鐘
前情提要:
以往於取證流程,皆會擷取目標取證主機/伺服器的磁碟(Disk)、記憶體(Memory)做數位鑑識分析
記憶體擷取基本上是針對揮發性記憶體(Volatile Memory)做證據擷取,建議目標取證主機於取證前 "盡量"不要切斷電源,使目標主機沒有電力,避免揮發性記憶體資料消失
之前遇過有些客戶,中勒索病毒就將目標取證主機電源線拔除,導致主機沒電,無法做詳細的記憶體分析 QQ

市面上有許多記憶體分析工具:

1.Volatility (免費使用)
2.AccessData FTK Imager (免費使用)
3.Bulk Extractor (免費使用)
4.Magnet AXIOM (需付費使用)

今天單元會來操作AccessData FTK Imager給大家供簡單參考:
下方圖片是FTK Imager的執行檔圖示,可以在AccessData官網上下載FTK Imager

如果已經下載完畢,可以點擊FTK Imager 執行檔(.exe)開啟FTK Imager

raw-image










左上角是功能選單類,可以依據使用者想達到的功能作選擇,像是製作一個.mem檔案(記憶體檔案)或製作disk image(硬碟證據檔)

raw-image
raw-image













選擇Capture Memory... 會產生一個Windows 視窗,可以輸入製作完的Memory放置位子(Destination Path),也可以更改你的mem名稱,輸入完成後按下Capture Memory ,就完成記憶體擷取步驟

raw-image









進度條跑完(綠色)結束後,會產生一個新的Windows 視窗,告訴使用者製作完的mem Hash值

下一天的單元會跟大家分享拿到記憶體檔案,要如何分析記憶體

那我們就下一天的單元作詳細說明!













留言
avatar-img
留言分享你的想法!
avatar-img
iforensics_researcher的沙龍
9會員
5內容數
2023/05/03
前情提要: 市面上有幾款免費開源的記憶體工具,Ex: Volatility、Bulk Extractor等等 有時候在幫客戶分析記憶體時,想看證據映像檔的封包時,可以使用Bulk Extractor提取pcap檔案 是相當方便且建議大家一定要認識的鑑識工具
Thumbnail
2023/05/03
前情提要: 市面上有幾款免費開源的記憶體工具,Ex: Volatility、Bulk Extractor等等 有時候在幫客戶分析記憶體時,想看證據映像檔的封包時,可以使用Bulk Extractor提取pcap檔案 是相當方便且建議大家一定要認識的鑑識工具
Thumbnail
2023/03/20
前情提要: 記憶體分析在數位鑑識調查中為其重要,有時候駭客或者「有心人士」想要湮滅證據 or 毀屍滅跡時,會進行目標證據檔案(也就是被害人的電腦或伺服器)硬碟清除,格式化硬碟多次,洗掉整個犯案軌跡,這時候記憶體分析可能是此案找到證據的重要關鍵。 注意:本研究僅供使用自身電腦,伺服器 or 虛擬機
Thumbnail
2023/03/20
前情提要: 記憶體分析在數位鑑識調查中為其重要,有時候駭客或者「有心人士」想要湮滅證據 or 毀屍滅跡時,會進行目標證據檔案(也就是被害人的電腦或伺服器)硬碟清除,格式化硬碟多次,洗掉整個犯案軌跡,這時候記憶體分析可能是此案找到證據的重要關鍵。 注意:本研究僅供使用自身電腦,伺服器 or 虛擬機
Thumbnail
2023/03/19
前情提要 之前於A公司進行調查,從取證-證物分析到產出結果報告皆要符合國際規範與證據監管鏈,避免證據於法庭上被質疑其證據資格(證據能力)今天主題是來談談 什麼是證據力? 什麼是證據能力? 先來談談定義 證據能力 : 指的是可以作為法庭上證據的 資 格 證據力: 證據的證明 程 度 或 也可以說是證據
2023/03/19
前情提要 之前於A公司進行調查,從取證-證物分析到產出結果報告皆要符合國際規範與證據監管鏈,避免證據於法庭上被質疑其證據資格(證據能力)今天主題是來談談 什麼是證據力? 什麼是證據能力? 先來談談定義 證據能力 : 指的是可以作為法庭上證據的 資 格 證據力: 證據的證明 程 度 或 也可以說是證據
看更多
你可能也想看
Thumbnail
大家好,我是一名眼科醫師,也是一位孩子的媽 身為眼科醫師的我,我知道視力發展對孩子來說有多關鍵。 每到開學季時,診間便充斥著許多憂心忡忡的家屬。近年來看診中,兒童提早近視、眼睛疲勞的案例明顯增加,除了3C使用過度,最常被忽略的,就是照明品質。 然而作為一位媽媽,孩子能在安全、舒適的環境
Thumbnail
大家好,我是一名眼科醫師,也是一位孩子的媽 身為眼科醫師的我,我知道視力發展對孩子來說有多關鍵。 每到開學季時,診間便充斥著許多憂心忡忡的家屬。近年來看診中,兒童提早近視、眼睛疲勞的案例明顯增加,除了3C使用過度,最常被忽略的,就是照明品質。 然而作為一位媽媽,孩子能在安全、舒適的環境
Thumbnail
我的「媽」呀! 母親節即將到來,vocus 邀請你寫下屬於你的「媽」故事——不管是紀錄爆笑的日常,或是一直想對她表達的感謝,又或者,是你這輩子最想聽她說出的一句話。 也歡迎你曬出合照,分享照片背後的點點滴滴 ♥️ 透過創作,將這份情感表達出來吧!🥹
Thumbnail
我的「媽」呀! 母親節即將到來,vocus 邀請你寫下屬於你的「媽」故事——不管是紀錄爆笑的日常,或是一直想對她表達的感謝,又或者,是你這輩子最想聽她說出的一句話。 也歡迎你曬出合照,分享照片背後的點點滴滴 ♥️ 透過創作,將這份情感表達出來吧!🥹
Thumbnail
在企業IT環境,系統和數據的備份的重要性相信是不用解說,亦不用懷疑的。 但很時時候,企業忽略的並不是備份,而是Drill test的重要性。
Thumbnail
在企業IT環境,系統和數據的備份的重要性相信是不用解說,亦不用懷疑的。 但很時時候,企業忽略的並不是備份,而是Drill test的重要性。
Thumbnail
科技力 硬碟清除大解密-3種資料清除工具守護您的資訊安全 當您計畫處理或售出您的舊硬碟或電腦時,您必須確保您的個人資料得以妥善處理,以免敏感資料不慎流落至不當之處。本文將深入介紹如何有效進行硬碟資料清除,確保您的資訊永久無法恢復。我們將探討各種不同的硬碟清除方式、選擇適合的工具和軟體,並提供清除
Thumbnail
科技力 硬碟清除大解密-3種資料清除工具守護您的資訊安全 當您計畫處理或售出您的舊硬碟或電腦時,您必須確保您的個人資料得以妥善處理,以免敏感資料不慎流落至不當之處。本文將深入介紹如何有效進行硬碟資料清除,確保您的資訊永久無法恢復。我們將探討各種不同的硬碟清除方式、選擇適合的工具和軟體,並提供清除
Thumbnail
#科技力 保證工作站作業系統和應用程式穩定運行是設備正常工作的前提條件,一旦出現故障,輕則系統當機,操作暫時失控,資料丟失;重則機器無法開機,資料盡失。因此,及時對工作站系統備份顯得特別重要。 目錄 1.映像檔(關於映像檔)備份和還原 2.常見映像檔備份工具比較 3.映像檔備份及還原教學文件
Thumbnail
#科技力 保證工作站作業系統和應用程式穩定運行是設備正常工作的前提條件,一旦出現故障,輕則系統當機,操作暫時失控,資料丟失;重則機器無法開機,資料盡失。因此,及時對工作站系統備份顯得特別重要。 目錄 1.映像檔(關於映像檔)備份和還原 2.常見映像檔備份工具比較 3.映像檔備份及還原教學文件
Thumbnail
勒索軟體攻擊鎖定開啟SMB檔案分享服務的QNAP。
Thumbnail
勒索軟體攻擊鎖定開啟SMB檔案分享服務的QNAP。
Thumbnail
前情提要: 市面上有幾款免費開源的記憶體工具,Ex: Volatility、Bulk Extractor等等 有時候在幫客戶分析記憶體時,想看證據映像檔的封包時,可以使用Bulk Extractor提取pcap檔案 是相當方便且建議大家一定要認識的鑑識工具
Thumbnail
前情提要: 市面上有幾款免費開源的記憶體工具,Ex: Volatility、Bulk Extractor等等 有時候在幫客戶分析記憶體時,想看證據映像檔的封包時,可以使用Bulk Extractor提取pcap檔案 是相當方便且建議大家一定要認識的鑑識工具
Thumbnail
前情提要: 記憶體分析在數位鑑識調查中為其重要,有時候駭客或者「有心人士」想要湮滅證據 or 毀屍滅跡時,會進行目標證據檔案(也就是被害人的電腦或伺服器)硬碟清除,格式化硬碟多次,洗掉整個犯案軌跡,這時候記憶體分析可能是此案找到證據的重要關鍵。 注意:本研究僅供使用自身電腦,伺服器 or 虛擬機
Thumbnail
前情提要: 記憶體分析在數位鑑識調查中為其重要,有時候駭客或者「有心人士」想要湮滅證據 or 毀屍滅跡時,會進行目標證據檔案(也就是被害人的電腦或伺服器)硬碟清除,格式化硬碟多次,洗掉整個犯案軌跡,這時候記憶體分析可能是此案找到證據的重要關鍵。 注意:本研究僅供使用自身電腦,伺服器 or 虛擬機
Thumbnail
前情提要: 以往於取證流程,皆會擷取目標取證主機/伺服器的磁碟(Disk)、記憶體(Memory)做數位鑑識分析 記憶體擷取基本上是針對揮發性記憶體(Volatile Memory)做證據擷取,建議目標取證主機於取證前 "盡量"不要切斷電源,使目標主機沒有電力,避免揮發性記憶體資料消失 之前遇過有些
Thumbnail
前情提要: 以往於取證流程,皆會擷取目標取證主機/伺服器的磁碟(Disk)、記憶體(Memory)做數位鑑識分析 記憶體擷取基本上是針對揮發性記憶體(Volatile Memory)做證據擷取,建議目標取證主機於取證前 "盡量"不要切斷電源,使目標主機沒有電力,避免揮發性記憶體資料消失 之前遇過有些
Thumbnail
你的公司企業有跟上數位轉型的趨勢了嗎?你知道企業資料要做好3D視覺化,可以有更佳的數據整合嗎?專業的智慧戰情室給你最佳的數據整合資訊,讓你可以透過相關的解決方案,為您的企業更增添一份實力!
Thumbnail
你的公司企業有跟上數位轉型的趨勢了嗎?你知道企業資料要做好3D視覺化,可以有更佳的數據整合嗎?專業的智慧戰情室給你最佳的數據整合資訊,讓你可以透過相關的解決方案,為您的企業更增添一份實力!
Thumbnail
此文章敘述了為了未來電腦安全,而設計的系統概念
Thumbnail
此文章敘述了為了未來電腦安全,而設計的系統概念
Thumbnail
【線上工具】Sucuri SiteCheck 掃描網站是否有無惡意程式,順便查詢是否有被線上掃毒軟體列入黑名單,並且會顯示網站的風險評估提供改善建議,以及顯示網站的 IP 位址、CMS、CDN 等資訊   【線上工具】Firefox Send 免費的檔案下載空間,免費帳號可上傳單檔 1.5GB 的
Thumbnail
【線上工具】Sucuri SiteCheck 掃描網站是否有無惡意程式,順便查詢是否有被線上掃毒軟體列入黑名單,並且會顯示網站的風險評估提供改善建議,以及顯示網站的 IP 位址、CMS、CDN 等資訊   【線上工具】Firefox Send 免費的檔案下載空間,免費帳號可上傳單檔 1.5GB 的
追蹤感興趣的內容從 Google News 追蹤更多 vocus 的最新精選內容追蹤 Google News