2022年网络安全国赛内存取证WP

需要取证文件可以私信博主

题目如下:

解析部分如下 

任务九：内存取证

*任务说明：仅能获取Server9的IP地址

1.从内存文件中找到异常程序的进程，将进程的名称作为Flag值提交；

volatility -f gs02.raw imageinfo

volatility -f gs02.raw --profile=Win2003SP2x86 pslist

 

应该是这个test.exe文件

2.从内存文件中找到黑客将异常程序迁移后的进程编号，将迁移后的进程编号作为Flag值提交； 

# 查看阅览器纪录历史 volatility -f gs02.raw --profile=Win2003SP2x86 iehistory