全站搜索

2026平航杯 内存取证题解析

平航杯

命中正文 ...10 64-bit (10.0.19041)，主机名 DESKTOP-3943OKD，采集时间 2026-04-03 01:47:46 工具链：Volatility3（内存分析）、sqlcipher3（微信数据库解密）、Python mmap + 正则搜索（内存密钥提取） 验证策略：L1（单证据源）/ L2...

第三届 “聚合獬豸杯” 全国电子数据取证大赛【全解】

獬豸杯

命中正文 ...ensics\Lovelymem_20260312\Tools\python27\python27.exe" @args } function vol3 { & "H:\Forensics\Lovelymem_20260312\Tools\python3\python.exe" "H:\Fore...

2026平航杯内存取证（StarMem）

平航杯

2026盘古石预赛 计算机取证题解析

盘古石杯

命中正文 ...证等级：L1 解题思路： 用户刘洋(RID=1002)的NT哈希值为 876dfe7bd78730b7b0baaf451414de8e 来源: Volatility3 windows.hashdump.Hashdump 从内存镜像提取 与E01 secretsdump提取结果一致，双源交叉验证 证据: CM...

2026盘古石杯线下计算机

2026盘古石杯线下

命中正文 ...14:56:27 UTC 需要转化成注意格式（（ vol2 验证下，win11好像不能用 vol2 跑了，不过这里就看一个内存镜像，能用就行 volatility.exe -f E:\ExportFile\2026pangushixianxia\mem.dmp Volatility Foundation...

第四届黄河流域公安院校电子物证个人赛计算机取证

2026第四届黄河流域公安院校电子物证个人赛

命中正文 ...(ewfinfo/icat)、python-evtx、secretsdump.py、hashcat-win v7.1.2、pykeepass、Volatility3、ida、strings、stat | | 运行环境 | WSL (Windows Subsystem for Linux) + 远程Wind...

2026 第三届聚合"獬豸杯" (write up)

第三届 “聚合獬豸杯” 全国电子数据取证大赛

命中正文 ...-FLAG】 过滤10.10.10.1，看 Telnet 协议 Telnet 协议以明文传输所有数据，是 1983 年的老协议，不重视网络安全 内存取证 1.该勒索进程的进程标识号（PID）是多少？【按实际值填写】 ransom(勒索)8804 2.受害计算机的主机名（COMPUTERNAME）...

2026 第四届"盘古石杯" 晋级赛 全解(write up)

盘古石杯

命中正文 ...6302245 23. 分析刘洋ly-memdump.mem镜像，给出用户刘洋的NT哈希值？[答案格式：数字字母组合，字母小写] 方法一:美亚的内存分析工具 876dfe7bd78730b7b0baaf451414de8e 部分工具（如 pwdump / SAMInside 离线解析）对 GBK...

Windows 终端痕迹训练样本

包含合成的 Windows 事件、USB 设备、最近文件和 Prefetch 痕迹，用于时间线与证据关联练习。

命中分类/关联题目 内存镜像 Windows 终端痕迹入门训练

Volatility 3

Windows、Linux 与 macOS 内存镜像分析框架，提供进程、网络、注册表和恶意行为插件。

命中正文 隔离主机 / CLI Volatility 3 volatility-3 CLI Volatility Software License 收录工具 内存取证 内存镜像可能包含口令与个人数据，应在隔离工作站运行。

MemProcFS

把内存镜像挂载成可浏览的文件系统，用常规命令查看进程、驱动与网络连接。

命中正文 隔离主机 / CLI MemProcFS memprocfs Windows / Linux / macOS AGPL-3.0 收录工具 内存取证 内存镜像含凭据与个人数据；挂载与浏览都应在隔离主机完成。

LiME

以内核模块方式采集 Linux 内存，输出可交给分析工具处理的镜像文件。

命中正文 隔离主机 / CLI LiME lime Linux GPL-2.0-only 收录工具 内存取证 采集需要加载内核模块与相应权限，应在授权范围内执行，并记录采集命令与镜像哈希。