Buenas tardes. Estoy haciendo este ejercicio de forense memoria enseño enunciado en fuente negra y y hasta donde llega mi prueba fallida en rojo: (llego hast aese comando)
Los participantes deberán analizar la memoria RAM. Para ello, se propone la herramienta
Volatility.
Primero se determina qué perfil se debe utilizar para examinar el volcado de memoria con
mejor criterio.
Versión 2.6
# volatility –f “/path/to/file” imageinfo
Versión 3.0
# vol –f “/path/to/file” windows.info
La imagen anterior nos muestra que el sistema operativo del cual se hizo el dump de
memoria es Windows 7. Este dato será utilizado en los siguientes comandos.
El siguiente paso será listar los procesos abiertos.
Versión 2.6
# volatility --f “/path/to/file” --profile=Win7SP1x64 pslist
Versión 3.0
# vol –f “/path/to/file” windows.pslist
.
Página 6 de 8El fichero objetivo fue abierto con Acrobat Reader, por lo que se tendrá que realizar un
volcado de dicho proceso.
Versión 2.6
# volatility --f “/path/to/file” --profile=Win7SP1x64 memdump –p 1700 –D “/path/to/dir”
me sale esto
──(usuario㉿kali)-[~/Downloads/memoriaforenseok/02-Descargables]
└─$ volatility -f dump.mem --profile=Win7SP1x64 memdump –p 1700 –d /home/usuario/Desktop
Volatility Foundation Volatility Framework 2.6
ERROR : volatility.debug : Please specify a dump directory (--dump-dir)
¿Por qué pide directorio cuando ya le indico uno que existe?
Versión 3.0
# vol --f “/path/to/file” –o “/path/to/dir” windows.memmap –dump –pid <PID>
Una vez se haya terminado de generar el fichero, extraeremos la información mediante el
programa Foremost.
Se generará un fichero “output” que contiene los ficheros recuperados.
Nota: Puede ser que necesites acceder a la carpeta generada desde superoot # sudo su
.
Página 7 de 8En la carpeta: “output/pdf” se encuentran el fichero que contiene la flag.