内存取证——文件

文件 notepad里的秘密（二）

0x00

文接上文，前一篇关于内存取证读取进程。
这篇总结一下，内存取证读取文件。

0x01

step1:常规操作，先读取内存类型：

---

step2:可以得到profile类型 WinXPSP2x86 -f 指定文件。看进程？还像上一题？不存在的！

出来很多文件，但是没有notepad进程。

---

step3：昨天阅读帮助，今天又读了一遍，发现我们除了进程，还可以查看文件，
命令：volatility -f 2.raw pslist --profile=WinXPSP2x86
发现文件很多，又因为提示说：在flag.txt里，所以grep flag.txt

果然有收获！

---

step4：下面就是读这个文件呗！问题来了，又不是在我们电脑上的文件，怎么读?看了强哥的博客，明白了！
dumpfile命令！

各个参数都研究了一遍，最后一个参数是新遇到的，地址偏移量。
百度得：文件中的地址与内存中表示不同，它是用偏移量(File offset)来表示的。在SoftICE和W32Dasm下显示的地址值是内存地址

---

step5 ：这个文件已经保存到我的机器上，直接cat，就得到flag了！