killvxk 使用 Volatility 3 执行内存取证
适用场景
- 分析来自被入侵或可疑系统的 RAM 转储时
- 事件响应期间识别运行中的恶意软件、注入代码或 rootkit 时
- 需要从内存中提取凭据、加密密钥或网络连接时
- 检测进程空洞化（process hollowing）、DLL 注入或隐藏进程时
- 单纯的磁盘取证不足以解决问题且易失性数据至关重要时
前置条件
- 已安装 Python 3.7+
- 已安装 Volatility 3 框架（
pip install volatility3） - 原始格式、ELF 或崩溃转储格式的内存转储
- 目标操作系统版本的适当符号表（ISF 文件）
- 充足的磁盘空间用于分析输出（内存转储大小的 2-3 倍）
- 可选：YARA 规则用于内存中的恶意软件扫描
工作流程
步骤 1：获取内存转储并安装 Volatility 3
# 安装 Volatility 3
pip install volatility3
# 或从源代码安装以获取最新功能
git clone https://github.com/volatilityfoundation/volatility3.git
cd volatility3
pip install -e .
# 下载 Windows 符号表（ISF 包）
# 放置在 volatility3/symbols/ 目录中
wget https://downloads.volatilityfoundation.org/volatility3/symbols/windows.zip
unzip windows.zip -d /opt/volatility3/volatility3/symbols/
# 下载 Linux 和 Mac 符号包
wget https://downloads.volatilityfoundation.org/volatility3/symbols/linux.zip
wget https://downloads.volatilityfoundation.org/volatility3/symbols/mac.zip
# 内存获取工具（用于活动系统）：
# Windows：winpmem、DumpIt、FTK Imager
# Linux：LiME（Linux Memory Extractor）
sudo insmod lime-$(uname -r).ko "path=/cases/memory/linux_mem.lime format=lime"
# 验证内存转储
file /cases/case-2024-001/memory/memory.raw
ls -lh /cases/case-2024-001/memory/memory.raw
步骤 2：识别操作系统 Profile
# 运行 banners 插件识别操作系统
vol -f /cases/case-2024-001/memory/memory.raw banners
# 对于 Windows，识别操作系统版本
vol -f /cases/case-2024-001/memory/memory.raw windows.info
# 输出示例：
# Variable Value
# Kernel Base 0xf8047e200000
# DTB 0x1ad000
# Symbols ntkrnlmp.pdb/GUID
# Is64Bit True
# IsPAE False
# primary layer Intel32e
# KdVersionBlock 0xf8047ee232c0
# Major/Minor 15.19041
# Machine Type 34404
# KeNumberProcessors 4
# SystemTime 2024-01-18 14:32:15 UTC
# NtBuildLab 19041.1.amd64fre.vb_release.191206-1406
# NtProductType NtProductWinNt
# NtSystemRoot C:\WINDOWS
# PE MajorOperatingSystemVersion 10
# PE MinorOperatingSystemVersion 0
# 对于 Linux 内存转储
vol -f /cases/case-2024-001/memory/linux_mem.lime linux.info
步骤 3：枚举进程并检测异常
# 列出所有运行中的进程
vol -f /cases/case-2024-001/memory/memory.raw windows.pslist | tee /cases/case-2024-001/analysis/pslist.txt
# 显示进程树（父子关系）
vol -f /cases/case-2024-001/memory/memory.raw windows.pstree | tee /cases/case-2024-001/analysis/pstree.txt
# 使用交叉视图分析检测隐藏进程
vol -f /cases/case-2024-001/memory/memory.raw windows.psscan | tee /cases/case-2024-001/analysis/psscan.txt
# 比较 pslist 与 psscan 以查找隐藏进程
diff <(vol -f memory.raw windows.pslist | awk '{print $1}' | sort) \
<(vol -f memory.raw windows.psscan | awk '{print $1}' | sort)
# 列出可疑进程加载的 DLL（PID 4532）
vol -f /cases/case-2024-001/memory/memory.raw windows.dlllist --pid 4532
# 检查进程空洞化和注入
vol -f /cases/case-2024-001/memory/memory.raw windows.malfind | tee /cases/case-2024-001/analysis/malfind.txt
# 转储可疑进程内存以进一步分析
vol -f /cases/case-2024-001/memory/memory.raw windows.memmap --pid 4532 --dump \
-o /cases/case-2024-001/analysis/dumps/
步骤 4：分析网络连接和注册表
# 列出活动网络连接
vol -f /cases/case-2024-001/memory/memory.raw windows.netscan | tee /cases/case-2024-001/analysis/netscan.txt
# 过滤已建立的连接
vol -f /cases/case-2024-001/memory/memory.raw windows.netscan | grep ESTABLISHED
# 过滤监听端口
vol -f /cases/case-2024-001/memory/memory.raw windows.netscan | grep LISTENING
# 提取带进程映射的网络连接
vol -f /cases/case-2024-001/memory/memory.raw windows.netstat | tee /cases/case-2024-001/analysis/netstat.txt
# 从内存中转储注册表 hive
vol -f /cases/case-2024-001/memory/memory.raw windows.registry.hivelist
# 提取特定注册表键
vol -f /cases/case-2024-001/memory/memory.raw windows.registry.printkey \
--key "Software\Microsoft\Windows\CurrentVersion\Run"
# 检查服务
vol -f /cases/case-2024-001/memory/memory.raw windows.svcscan | tee /cases/case-2024-001/analysis/services.txt
步骤 5：提取凭据和敏感数据
# 转储缓存凭据（hashdump）
vol -f /cases/case-2024-001/memory/memory.raw windows.hashdump | tee /cases/case-2024-001/analysis/hashes.txt
# 提取 LSA 机密
vol -f /cases/case-2024-001/memory/memory.raw windows.lsadump
# 转储缓存的域凭据
vol -f /cases/case-2024-001/memory/memory.raw windows.cachedump
# 在进程内存中搜索明文字符串
vol -f /cases/case-2024-001/memory/memory.raw windows.strings --pid 4532 \
| grep -iE '(password|credential|token|api.key)'
# 从 cmd.exe/powershell 提取命令历史
vol -f /cases/case-2024-001/memory/memory.raw windows.cmdline | tee /cases/case-2024-001/analysis/cmdline.txt
# 提取环境变量
vol -f /cases/case-2024-001/memory/memory.raw windows.envars --pid 4532
步骤 6：使用 YARA 规则扫描恶意软件
# 使用 YARA 规则扫描内存
vol -f /cases/case-2024-001/memory/memory.raw yarascan \
--yara-file /opt/yara-rules/malware_index.yar | tee /cases/case-2024-001/analysis/yara_hits.txt
# 扫描特定进程内存
vol -f /cases/case-2024-001/memory/memory.raw yarascan \
--yara-file /opt/yara-rules/apt_rules.yar --pid 4532
# 检查已加载的内核模块是否存在 rootkit
vol -f /cases/case-2024-001/memory/memory.raw windows.modules | tee /cases/case-2024-001/analysis/modules.txt
# 检测未链接/隐藏的模块
vol -f /cases/case-2024-001/memory/memory.raw windows.modscan | tee /cases/case-2024-001/analysis/modscan.txt
# 检查 SSDT 钩子（系统服务描述符表）
vol -f /cases/case-2024-001/memory/memory.raw windows.ssdt | grep -v "ntoskrnl\|win32k"
# 从内存中转储可疑可执行文件
vol -f /cases/case-2024-001/memory/memory.raw windows.dumpfiles --pid 4532 \
-o /cases/case-2024-001/analysis/extracted/
步骤 7：将调查结果汇编为报告
# 生成综合分析摘要
echo "=== 内存取证报告 ===" > /cases/case-2024-001/analysis/memory_report.txt
echo "镜像：memory.raw" >> /cases/case-2024-001/analysis/memory_report.txt
echo "操作系统：Windows 10 Build 19041" >> /cases/case-2024-001/analysis/memory_report.txt
echo "" >> /cases/case-2024-001/analysis/memory_report.txt
echo "--- 可疑进程 ---" >> /cases/case-2024-001/analysis/memory_report.txt
cat /cases/case-2024-001/analysis/malfind.txt >> /cases/case-2024-001/analysis/memory_report.txt
echo "--- 网络连接 ---" >> /cases/case-2024-001/analysis/memory_report.txt
cat /cases/case-2024-001/analysis/netscan.txt >> /cases/case-2024-001/analysis/memory_report.txt
echo "--- YARA 匹配 ---" >> /cases/case-2024-001/analysis/memory_report.txt
cat /cases/case-2024-001/analysis/yara_hits.txt >> /cases/case-2024-001/analysis/memory_report.txt
# 计算内存转储的哈希以验证完整性
sha256sum /cases/case-2024-001/memory/memory.raw >> /cases/case-2024-001/analysis/memory_report.txt
关键概念
| 概念 | 描述 |
|---|---|
| 易失性数据（Volatile data） | 仅存在于 RAM 中、断电后丢失的信息 |
| 进程空洞化（Process hollowing） | 恶意软件将合法进程内存替换为恶意代码的技术 |
| DLL 注入（DLL injection） | 向运行中的进程地址空间加载未授权 DLL |
| EPROCESS | 表示进程的 Windows 内核结构；进程列表的基础 |
| 池扫描（Pool scanning） | 在内存中搜索内核对象签名以查找隐藏制品 |
| VAD（虚拟地址描述符） | 跟踪进程虚拟内存区域的内存管理结构 |
| ISF（中间符号格式） | 用于操作系统特定结构定义的 Volatility 3 符号表格式 |
| Malfind | 通过检查 VAD 权限和内容检测注入代码的插件 |
工具与系统
| 工具 | 用途 |
|---|---|
| Volatility 3 | 主要的开源内存取证框架 |
| LiME | 用于获取 Linux RAM 转储的 Linux Memory Extractor |
| WinPmem | Windows 物理内存获取驱动程序 |
| DumpIt | Comae 一键式 Windows 内存转储工具 |
| YARA | 用于恶意软件签名扫描的模式匹配引擎 |
| Rekall | 替代内存取证框架（Google） |
| MemProcFS | 用于内存分析的内存进程文件系统 |
| strings | 从二进制内存转储中提取可打印字符串 |
常见场景
场景 1：活跃恶意软件调查 使用 DumpIt 获取内存，运行 pslist/pstree 识别可疑进程，使用 malfind 检测 svchost.exe 中的注入代码，转储注入的内存段，使用 YARA 规则识别 Cobalt Strike beacon，从 netscan 中提取 C2 IP，与网络日志关联。
场景 2：数据泄露后的凭据盗取 运行 hashdump 和 lsadump 提取缓存凭据，在 cmdline 输出中识别 mimikatz 执行，检查文件系统制品中的 lsass.exe 内存转储，与网络连接中的横向移动证据关联。
场景 3：Rootkit 检测 比较 pslist（使用 EPROCESS 链表）与 psscan（池扫描）以查找未链接进程，检查 modules 与 modscan 是否存在隐藏内核驱动，检查 SSDT 是否有重定向系统调用的钩子，转储可疑模块进行静态分析。
场景 4：勒索软件事件恢复 在系统关机前从勒索软件进程内存中提取加密密钥，使用 YARA 识别勒索软件变种，通过命令行制品找到初始执行点，通过网络连接绘制横向移动路线。
输出格式
内存取证分析：
镜像： memory.raw（16 GB）
识别操作系统： Windows 10 x64 Build 19041
捕获时间： 2024-01-18 14:32:15 UTC
进程分析：
进程总数： 87
隐藏进程： 2（PID：4532, 6128）
注入进程： 3（malfind 检测到）
可疑： svchost.exe（PID 4532）- 0x7FFE0000 处有注入代码
网络连接：
总数： 45
已建立： 12
可疑： 3（C2 连接至 185.xx.xx.xx:443）
发现的凭据：
NTLM 哈希： 4 个账户
缓存凭据： 2 个域账户
YARA 匹配：
CobaltStrike_Beacon：PID 4532（3 次命中）
Mimikatz_Memory： PID 6128（1 次命中）
提取的制品： 15 个文件已转储至 /analysis/extracted/