取证工具Volatility-2.1使用方法_dumpit下载-程序员宅基地
1、首先下载python，然后解压安装完成后，设置环境变量。
2、根据自己电脑的系统下载volatility，网址：http://www.volatilityfoundation.org/releases，然后解压即可。
3、用DumpIt工具（是内存副本获取工具）生成主机的物理内存镜像。解压DumpIt后，双击DumpIt.exe可执行程序，并在提示问题后面输入y，等待几分钟时间即可在当前目录下生成主机物理内存的副本，该副本文件是以*.raw为后缀的镜像文件，我们取证的对象就是这个内存镜像。
4、然后开始就可以开始使用volatility的命令了。
-h或者-help能够查看volatility的功能选项以及所有的可支持的插件命令。如下图：
目前能用的命令有：imageinfo、kpcrscan、dlllist、filescan、handles、modscan、netscan、pslist、pstree。
（1）Imageinfo命令：用于查看我们正在分析的内存样本的摘要信息。具体来说显示主机所使用的操作系统版本、服务包以及硬件结构(32位或64位)、页目录表的起始地址和该获取该内存镜像的时间等基本信息。使用方法如下：
其中以.raw后缀的文件名就是本机的内存镜像。>imageinfo.txt是把imageinfo命令取得的信息定向的存在imageinfo.txt的文件中。
（2）kpcrscan命令：用于查找内存中用于定义内核处理器控制区域（KPCR）的_KPCR结构体信息，具体来说，可以显示每个处理器的详细信息，包括IDT（线程控制符）和GDT（全局段描述符表）地址，当前运行的线程和空闲线程，CPU数量、制造厂商及其速度，CR3寄存器或页目录表基地址的值等信息。该命令的使用方法要用到imageinfo取得的profile信息:
这两个命令运行的时间可能会较长，请耐心等待。
（3）dlllist命令：能够显示一个进程装载的动态链接库的信息，其显示列表主要包括加载的动态链接库文件的基地址、文件大小以及文件所在路径。
（4）filescan命令：此命令将显示系统上的打开的文件，包括已被恶意软件隐藏的文件。
（5）handles命令：显示在一个进程中打开的处理。
（6）modscan命令：扫描_ldr_data_table_entry对象的物理内存。显示内核的驱动程序，包括已隐藏/链接的。
（7）netscan命令：发现TCP / UDP端点和监听器。这个命令将显示一个主动网络连接的列表。
（8）pslist命令：可以枚举系统中的进程，这条命令通过遍历PsActiveProcessHead指针指向的双向链表枚举当前内存中活跃的所有进程信息，主要包括偏移地址、进程ID号、父进程ID号、线程数量、句柄数量、进程会话ID号以及进程开始和退出的时间。
（9）pstree命令：这个命令显示跟pslist一样的信息，只是以树的形式。
以上命令的使用方法同kpcrscan命令。
PS：此文章写于2016年11月做个人电脑操作取证的时候整理的，现在要找实习了回顾一下以前做的工作，顺便发出来供大家参考讨论。
智能推荐
js引入kindeditor富文本编辑器的使用_kindeditor.js-程序员宅基地
文章浏览阅读1.9k次。1. 在官网上下载KindEditor文件，可以删掉不需要要到的jsp，asp，asp.net和php文件夹。接着把文件夹放到项目文件目录下。2. 修改html文件，在页面引入js文件：<script type="text/javascript" src="./kindeditor/kindeditor-all.js"></script><script type="text/javascript" src="./kindeditor/lang/zh-CN.js"_kindeditor.js
STM32学习过程记录11——基于STM32G431CBU6硬件SPI+DMA的高效WS2812B控制方法-程序员宅基地
文章浏览阅读2.3k次，点赞6次，收藏14次。SPI的详情简介不必赘述。假设我们通过SPI发送0xAA，我们的数据线就会变为10101010，通过修改不同的内容，即可修改SPI中0和1的持续时间。比如0xF0即为前半周期为高电平，后半周期为低电平的状态。在SPI的通信模式中，CPHA配置会影响该实验，下图展示了不同采样位置的SPI时序图[1]。CPOL = 0，CPHA = 1：CLK空闲状态 = 低电平，数据在下降沿采样，并在上升沿移出CPOL = 0，CPHA = 0：CLK空闲状态 = 低电平，数据在上升沿采样，并在下降沿移出。_stm32g431cbu6
计算机网络-数据链路层_接收方收到链路层数据后,使用crc检验后,余数为0,说明链路层的传输时可靠传输-程序员宅基地
文章浏览阅读1.2k次，点赞2次，收藏8次。数据链路层习题自测问题1.数据链路(即逻辑链路)与链路(即物理链路)有何区别?“电路接通了”与”数据链路接通了”的区别何在?2.数据链路层中的链路控制包括哪些功能?试讨论数据链路层做成可靠的链路层有哪些优点和缺点。3.网络适配器的作用是什么?网络适配器工作在哪一层?4.数据链路层的三个基本问题(帧定界、透明传输和差错检测)为什么都必须加以解决？5.如果在数据链路层不进行帧定界，会发生什么问题？6.PPP协议的主要特点是什么？为什么PPP不使用帧的编号？PPP适用于什么情况？为什么PPP协议不_接收方收到链路层数据后,使用crc检验后,余数为0,说明链路层的传输时可靠传输
软件测试工程师移民加拿大_无证移民，未受过软件工程师的教育（第1部分）-程序员宅基地
文章浏览阅读587次。软件测试工程师移民加拿大 无证移民，未受过软件工程师的教育(第1部分) (Undocumented Immigrant With No Education to Software Engineer(Part 1))Before I start, I want you to please bear with me on the way I write, I have very little gen...
深度神经网络在训练初期的“梯度消失”或“梯度爆炸”的问题解决：数据标准化（Data Standardization），权重初始化（Weight Initialization），Dropout正则化等_在人工神经网络研究的初始阶段,辛顿针对训练过程中常出现的梯度消失现象, 提供相-程序员宅基地
文章浏览阅读101次。1986年，深度学习(Deep Learning)火爆，它提出了一个名为“深层神经网络”（Deep Neural Networks）的新型机器学习模型。随后几年，神经网络在图像、文本等领域取得了惊艳成果。但是，随着深度学习的应用范围越来越广泛，神经网络在遇到新的任务时出现性能下降或退化的问题。这主要是由于深度神经网络在训练初期面临着“梯度消失”或“梯度爆炸”的问题。_在人工神经网络研究的初始阶段,辛顿针对训练过程中常出现的梯度消失现象, 提供相
kill进程的几种方式_如何kill掉一个进程-程序员宅基地
文章浏览阅读461次。我们会先使用 ps、top 等命令获得进程的 PID，然后使用 kill 命令来杀掉该进程。killall和pkill是相似的，不过如果给出的进程名不完整，killall会报错。当然我们可以向进程发送一个终止运行的信号，此时的 kill 命令才是名至实归。，这样结束掉的进程不会进行资源的清理工作，所以如果你用它来终结掉 vim 的进程，就会发现临时文件 *.swp 没有被删除。命令：pid of xx进程，显示进程的进程号，同上pgrep。这是 kill 命令最主要的用法，也是本文要介绍的内容。_如何kill掉一个进程
随便推点
C++如何做字符串分割（5种方法）_c++ 字符串分割-程序员宅基地
文章浏览阅读10w+次，点赞93次，收藏352次。1、用strtok函数进行字符串分割原型： char *strtok(char *str, const char *delim);功能：分解字符串为一组字符串。参数说明：str为要分解的字符串，delim为分隔符字符串。返回值：从str开头开始的一个个被分割的串。当没有被分割的串时则返回NULL。其它：strtok函数线程不安全，可以使用strtok_r替代。示例：//借助strtok实现split#include <string.h>#include <stdio.h&_c++ 字符串分割
2013第四届蓝桥杯 C/C++本科A组 真题答案解析_2013年第四届c a组蓝桥杯省赛真题解答-程序员宅基地
文章浏览阅读2.3k次。1 .高斯日记 大数学家高斯有个好习惯：无论如何都要记日记。他的日记有个与众不同的地方，他从不注明年月日，而是用一个整数代替，比如：4210后来人们知道，那个整数就是日期，它表示那一天是高斯出生后的第几天。这或许也是个好习惯，它时时刻刻提醒着主人：日子又过去一天，还有多少时光可以用于浪费呢？高斯出生于：1777年4月30日。在高斯发现的一个重要定理的日记_2013年第四届c a组蓝桥杯省赛真题解答
基于供需算法优化的核极限学习机(KELM)分类算法-程序员宅基地
文章浏览阅读851次，点赞17次，收藏22次。摘要：本文利用供需算法对核极限学习机(KELM)进行优化，并用于分类。
metasploitable2渗透测试_metasploitable2怎么进入-程序员宅基地
文章浏览阅读1.1k次。一、系统弱密码登录1、在kali上执行命令行telnet 192.168.26.1292、Login和password都输入msfadmin3、登录成功，进入系统4、测试如下：二、MySQL弱密码登录：1、在kali上执行mysql –h 192.168.26.129 –u root2、登录成功，进入MySQL系统3、测试效果：三、PostgreSQL弱密码登录1、在Kali上执行psql -h 192.168.26.129 –U post..._metasploitable2怎么进入
Python学习之路：从入门到精通的指南_python人工智能开发从入门到精通pdf-程序员宅基地
文章浏览阅读257次。本文将为初学者提供Python学习的详细指南，从Python的历史、基础语法和数据类型到面向对象编程、模块和库的使用。通过本文，您将能够掌握Python编程的核心概念，为今后的编程学习和实践打下坚实基础。_python人工智能开发从入门到精通pdf
vscode打开markdown文件 不显示图片 预览markdown文件_vscodemarkdown图片无法显示-程序员宅基地
文章浏览阅读3.2k次，点赞3次，收藏4次。vscode打开markdown文件 不显示图片 预览markdown文件_vscodemarkdown图片无法显示