디지털 포렌식 기초 - 5(volatility 명령어 정리)

안녕하세요. volatility 명령어들을 까먹지 않기 위해 명령어들을 정리하려 합니다.

 

iamageinfo : 운영체제 식별

volatility_2.6_win64_standalone.exe -f Target1-1dd8701f.vmss imageinfo

- 프로세스 보기
pslist : 시간순소대로 프로세스 검색
psscan : 숨겨진 프로세스 출력
pstree : 부모,자식 순으로 구조화하여 프로세스를 출력
pscview : pslist, psscan을 포함한 도구들의 결과를 한눈에 볼 수 있습니다.

volatility_2.6_win64_standalone.exe -f Target1-1dd8701f.vmss --profile=Win7SP0x86 pslist > pslist.log
volatility_2.6_win64_standalone.exe -f Target1-1dd8701f.vmss --profile=Win7SP0x86 psscan > psscan.log
volatility_2.6_win64_standalone.exe -f Target1-1dd8701f.vmss --profile=Win7SP0x86 pstree > pstree.log
volatility_2.6_win64_standalone.exe -f Target1-1dd8701f.vmss --profile=Win7SP0x86 psxview > psxview.log

- 네트워크 보기
netscan : window 7이상, tcp,udp,ipv4,ipv6 프로토콜의 통신을 모두 분석해줍니다.
connections : window 7 미만, 현재 연결된 tcp 통신에대한 정보

volatility_2.6_win64_standalone.exe -f Target1-1dd8701f.vmss --profile=Win7SP0x86 netscan > netscan.log

- cmd 보기
cmdscan, consoles : 콘솔에 입력한 값들을 볼 수 있음
cmdline : 프로세스가 실행될때 인자값들을 확인 할 수 있음

volatility_2.6_win64_standalone.exe -f Target1-1dd8701f.vmss --profile=Win7SP0x86 cmdline > cmdline.log
volatility_2.6_win64_standalone.exe -f Target1-1dd8701f.vmss --profile=Win7SP0x86 cmdscan > cmdscan.log
volatility_2.6_win64_standalone.exe -f Target1-1dd8701f.vmss --profile=Win7SP0x86 consoles > consoles.log

- 파일들 보기
filescan : 메모리내에 존재하는 모든 파일들의 리스트 출력
dumpfiles : 파일을 덤프. 옵션으로 메모리주소, 프로세스를 볼 수 있습니다.

volatility_2.6_win64_standalone.exe -f Target1-1dd8701f.vmss --profile=Win7SP0x86 filescan | findstr w.tmp
volatility_2.6_win64_standalone.exe -f Target1-1dd8701f.vmss --profile=Win7SP0x86 dumpfiles -Q 0x000000003eca37f8 -D ./

- 프로세스 내용 보기
memdump : 특정 프로세스의 메모리 영역을 덤프 -> stirngs 사용합니다.
procdump : 프로세스의 실행파일을 추출합니다.

volatility_2.6_win64_standalone.exe -f Target1-1dd8701f.vmss --profile=Win7SP0x86 memdump -p 3196 -D ./dumps