Day 3 數位鑑識 製作記憶體分析檔案(mem)
更新於 2023/03/19閱讀時間約 1 分鐘
前情提要:
以往於取證流程，皆會擷取目標取證主機/伺服器的磁碟(Disk)、記憶體(Memory)做數位鑑識分析
記憶體擷取基本上是針對揮發性記憶體(Volatile Memory)做證據擷取，建議目標取證主機於取證前 "盡量"不要切斷電源，使目標主機沒有電力，避免揮發性記憶體資料消失
之前遇過有些客戶，中勒索病毒就將目標取證主機電源線拔除，導致主機沒電，無法做詳細的記憶體分析 QQ
市面上有許多記憶體分析工具:
1.Volatility (免費使用)
2.AccessData FTK Imager (免費使用)
3.Bulk Extractor (免費使用)
4.Magnet AXIOM (需付費使用)
2.AccessData FTK Imager (免費使用)
3.Bulk Extractor (免費使用)
4.Magnet AXIOM (需付費使用)
如果已經下載完畢，可以點擊FTK Imager 執行檔(.exe)開啟FTK Imager
左上角是功能選單類，可以依據使用者想達到的功能作選擇，像是製作一個.mem檔案(記憶體檔案)或製作disk image(硬碟證據檔)
選擇Capture Memory... 會產生一個Windows 視窗，可以輸入製作完的Memory放置位子(Destination Path)，也可以更改你的mem名稱，輸入完成後按下Capture Memory ，就完成記憶體擷取步驟
進度條跑完(綠色)結束後，會產生一個新的Windows 視窗，告訴使用者製作完的mem Hash值
下一天的單元會跟大家分享拿到記憶體檔案，要如何分析記憶體
那我們就下一天的單元作詳細說明!
為什麼會看到廣告
9會員
5內容數
留言0
查看全部
你可能也想看
Google News 追蹤
*合作聲明與警語：
本文係由國泰世華銀行邀稿。
證券服務係由國泰世華銀行辦理共同行銷證券經紀開戶業務，定期定額(股)服務由國泰綜合證券提供。
剛出社會的時候，很常在各種 Podcast 或 YouTube 甚至是在朋友間聊天，都會聽到各種市場動態、理財話題，像是：聯準會降息或是近期哪些科
這篇文章是一位女子獨自旅行的日記，分享了她在旅行過程中碰到的一些意外和美好時光，旅行第三天來到「直島」參觀了多個藝術館。
目前只能依賴雙腿以及公共交通工具的我，今天選擇搭乘當地的Caltrain從Mountain View搭到Palo Alto，再靠雙腿走到之後的研究大樓試圖熟悉環境，接著再校園其他地方做一個簡單的校園巡禮。
加州初心者，即便貼心好友幫我準備了Slipper卡，但我對他的認知就是，可以搭車，至於怎麼搭
Plan: Find the next good place for something
量體重：73 KG
椰子油：2 匙
喝水3000：3000 CC
廁所：有
記錄飲食［斷食 23 小時］：9/21 13:30-9/22 10:00 / 21.5 小時 😰
紀錄作息［6:00 起 11:00 睡］：9:00 起 1:00睡 😰
閱讀：10 頁 p155-165
筆
還記得第一天早上醒來，在尚未喧鬧的街上閒晃，身體好像還記憶著成都，所以對於寧靜、寬敞的街道感到陌生且欣喜。走近街口，遇見雜糧煎餅的小弟正為一位大叔煎出套餅。粉漿沾上滾熱的煎台瞬間薄脆成皮，再刷上蛋液隨著高溫白化軟嫩。最後撒上蔥花、抹上辣醬，夾根油條。
“數學中可能沒有任何符號像數字 pi 那樣引起如此多的神秘、浪漫主義、誤解和人類興趣”-William L. Schaaf，<Pi 的自然與歷史>
自古人們便認為"圓"是一種神性的存在。印地安人做的每件事都在一個圓內， 因為世界的力量總是在圓內運轉， 而且每一件事總想試著變成圓形。 即使是季節的更
初到巴勒摩時，計程車上坐副駕的我，可以留意到他的動作。
每個國家的計程車司機都很忙，但巴勒摩的司機不但忙，而且時速不減。
剛開始他一邊用著手機一邊急速換檔（義大利的計程車司機都開手排車），他單手握方向盤，一邊拿著手機看導航，再把手機放下來急速換檔。「他怎麼知道什麼時候要換檔？萬一來不及呢？」
我們不想讓作品只是意識的魁儡，我要怎麼突破自己的邊界？思考「想要擺脫卻還是待在其中」的情境，是邊界感最明顯的時刻，同時，我們也會意識到，每個人都有各自邊緣之外的「無緣」。所以，能夠交疊的，已經是我們透過他人而抵達的邊境，因為和他人相遇，使我們有能力透過理解而發生轉變。
一大早，我們向飯店提出叫車的需求。很快的，兩台車停在了飯店門口，看起來比那種私家車安全多了。
「同學啊，這能進去嗎？」看著校門口盤查的警衛，似乎連開車的司機都不太曉得研究所那棟大樓在哪。
「應該是從校門口直接開進去。高德地圖寫的。」同學指著手機上的導航寫著。
*合作聲明與警語：
本文係由國泰世華銀行邀稿。
證券服務係由國泰世華銀行辦理共同行銷證券經紀開戶業務，定期定額(股)服務由國泰綜合證券提供。
剛出社會的時候，很常在各種 Podcast 或 YouTube 甚至是在朋友間聊天，都會聽到各種市場動態、理財話題，像是：聯準會降息或是近期哪些科
這篇文章是一位女子獨自旅行的日記，分享了她在旅行過程中碰到的一些意外和美好時光，旅行第三天來到「直島」參觀了多個藝術館。
目前只能依賴雙腿以及公共交通工具的我，今天選擇搭乘當地的Caltrain從Mountain View搭到Palo Alto，再靠雙腿走到之後的研究大樓試圖熟悉環境，接著再校園其他地方做一個簡單的校園巡禮。
加州初心者，即便貼心好友幫我準備了Slipper卡，但我對他的認知就是，可以搭車，至於怎麼搭
Plan: Find the next good place for something
量體重：73 KG
椰子油：2 匙
喝水3000：3000 CC
廁所：有
記錄飲食［斷食 23 小時］：9/21 13:30-9/22 10:00 / 21.5 小時 😰
紀錄作息［6:00 起 11:00 睡］：9:00 起 1:00睡 😰
閱讀：10 頁 p155-165
筆
還記得第一天早上醒來，在尚未喧鬧的街上閒晃，身體好像還記憶著成都，所以對於寧靜、寬敞的街道感到陌生且欣喜。走近街口，遇見雜糧煎餅的小弟正為一位大叔煎出套餅。粉漿沾上滾熱的煎台瞬間薄脆成皮，再刷上蛋液隨著高溫白化軟嫩。最後撒上蔥花、抹上辣醬，夾根油條。
“數學中可能沒有任何符號像數字 pi 那樣引起如此多的神秘、浪漫主義、誤解和人類興趣”-William L. Schaaf，<Pi 的自然與歷史>
自古人們便認為"圓"是一種神性的存在。印地安人做的每件事都在一個圓內， 因為世界的力量總是在圓內運轉， 而且每一件事總想試著變成圓形。 即使是季節的更
初到巴勒摩時，計程車上坐副駕的我，可以留意到他的動作。
每個國家的計程車司機都很忙，但巴勒摩的司機不但忙，而且時速不減。
剛開始他一邊用著手機一邊急速換檔（義大利的計程車司機都開手排車），他單手握方向盤，一邊拿著手機看導航，再把手機放下來急速換檔。「他怎麼知道什麼時候要換檔？萬一來不及呢？」
我們不想讓作品只是意識的魁儡，我要怎麼突破自己的邊界？思考「想要擺脫卻還是待在其中」的情境，是邊界感最明顯的時刻，同時，我們也會意識到，每個人都有各自邊緣之外的「無緣」。所以，能夠交疊的，已經是我們透過他人而抵達的邊境，因為和他人相遇，使我們有能力透過理解而發生轉變。
一大早，我們向飯店提出叫車的需求。很快的，兩台車停在了飯店門口，看起來比那種私家車安全多了。
「同學啊，這能進去嗎？」看著校門口盤查的警衛，似乎連開車的司機都不太曉得研究所那棟大樓在哪。
「應該是從校門口直接開進去。高德地圖寫的。」同學指著手機上的導航寫著。