星河滚烫,人生有理想! ​ ---[suy999] DD.E01系统镜像动态仿真 (一)使用到的软件 1.FTK Imager (v4.5.0.3) 2.VMware Workstation 15 Pro (v15.5.2) (二)FTK Imager 挂载镜像 1.选择 Imager Mounting 2.选择系统镜像挂载*"注意一"!!! (三)VMware新建虚拟机 1.新建虚拟机 2.固件类型*"注意二"!!! 3.处理器.内存及其它配置 4.磁盘类型选择&

1.硬盘镜像获取工具:dd dd是Linux/UNIX 下的一个非常有用的命令,作用是用指定大小的块拷贝一个文件,并在拷贝的同时进行指定的转换. 1.1 本地取数据 查看磁盘及分区 # fdisk -l 获取整个磁盘镜像文件 # dd if=需要拷贝的磁盘 of=/存储目录/镜像文件 (确保存储目录有足够的空间) 1.2 远程取硬盘数据· 克隆硬盘或分区的操作,不应在已经mount的的系统上进行,采取远程取的办法这样可以避免破坏现场. NC远程传输文件 从受害机器A拷贝文件到取证机器B.需要先在

FTK Imager制作镜像详细介绍 以DD镜像制造为例,详细介绍了FTK Imager创建镜像的过程,记得大学的时候学习这些没什么教程,找到的资料也是语焉不详,故在此啰嗦一番---[suy] 一.磁盘镜像制作步骤 (一)选择源证据类型 1.路径:文件(F)->创建磁盘映像(C)->选择源->物理驱动器(P) (二)选择需要做的磁盘 (三)选择镜像类型 (四)填写案件信息(可选) (五)设置镜像参数! 1.镜像保存位置.镜像名 2.是否分卷!!!默认分卷不分卷 3.加密设置(可选) 4.

Windows PE的全名是WindowsPreinstallationEnvironment(WinPE)直接从字面上翻译就 是"Windows预安装环境".微软的本意是:WinPE仅用做系统维护,并设置了各种限制.可以简单的理解为:PE是Windows系统的超级精简版.超级权限版(以系统system账户登录)!对于无法进入系统.修复系统.分区.重装系统等问题都可以进入PE进行操作,因此PE是系统维护强大的武器! 微软原版的PE,只有"命令行"即DOS窗口.网上流

原文地址:http://www.cnblogs.com/BoyXiao/archive/2011/03/31/2001535.html 回忆刚进公司那会儿,手头的第一个工作就是完成虚拟键盘,也就是通过驱动程序向键盘端口写入数据, 这份活至今记忆犹新,那会儿写的是个过滤驱动程序,也就是将我的虚拟设备绑定到真实的键盘设备上, 当驱动程序编译完成以后,我也总是通过下面的这个工具来安装驱动程序, 每编译好一次就使用这个工具重新安装驱动一次,然后通过 DbgView 来打印消息, 那会儿还真傻,为了弄出这

不正确之处欢迎指正,高手勿喷~ 配置windbg路径 Symbol path:SRV*F:\Windows\symbolxp3*http://msdl.microsoft.com/download/symbols;C:\Users\bojay\Desktop\first\objchk_wxp_x86\i386 Source path:C:\Users\bojay\Desktop\first Image path:C:\Users\bojay\Desktop\first\objchk_wxp_x8

搭建DHCP地址服务器 DHCP地址分配的四次会话:(广播形式)[先到先得]    Discovery---->Offer---->Request---->Ack 一个局域网内不能同时有两台DHCP服务器 一.装包dhcp 二.修改配置文件/etc/dhcp/dhcpd.conf         用到:r 命令调取example内容  保留以下内容 subnet 192.168.4.0 netmask 255.255.255.0 {  range 192.168.4.10 192.168

转载: 1.https://jingyan.baidu.com/article/375c8e19c2b25b25f2a229a3.html 2. https://jingyan.baidu.com/article/375c8e19c2b25b25f2a229a3.html 3.https://jingyan.baidu.com/article/47a29f2485f9a4c014239998.html "Windows 无法验证此设备所bai需的驱动程序的数字签du名"的问题通zhi过

在线靶场: https://www.mozhe.cn 背景介绍 某运维人员发现服务器最近被一个IP连接过SSH,请找到连接服务器SSH的IP. 实训目标 1.了解Linux备份方式: 2.了解AccessData FTK Imager使用方法: 3.掌握如何查看Linux日志: 解题方向 根据备份文件进行分析,找到IP地址,验证. 启动靶场,跳转桃链接回去下载备份的文件 下载解压之后,格式为ssh.img的格式 打开kail linux 进行挂载: ╰─ losetup -f -P ssh1.i

也就是说,当我拿着U盘启动盘,从你电脑里面拷贝了注册表的几个文件,大部分数据就已经到我手中了.一起来感受一下吧. 来源:Unit 6: Windows File Systems and Registry 6.1 Windows File Systems and Registry Windows Registry 使用工具:Access Data Registry Viewer的演示版(demo version) 查看注册表hives, SAM, System, 和ntuser.net文件 注册表

来源:Unit 5: Windows Acquisition 5.1 Windows Acquisition Windows Memory Acquisition and Analysis 调查人员检查物理内存内容,以检测恶意进程.威胁和内存驻留恶意软件,以恢复密码和获取密钥. 伏笔:rootkit,root代表最高权限,kit表示软件.合起来,最高权限的软件.如果存在恶意rootkit,利用它可以运行指令将进程与一些显示进程列表接口的函数切断关联隐藏起来,你在任务管理器里看不见.这东西的危害,

市场分析:计算机取证,就是应急响应.而应急响应的市场在于黑产的攻击频率.在当今的社会里,更多的人为了钱铤而走险的比比皆是,这个市场随着比特币,大数据,物联网的来临,规模将更加的庞大与有组织性.这将导致,安全岗位迫在眼前.他们攻击的越凶越复杂,我们的收入就越多,当然自身需要的技术也就要求越高,对整个团队的依赖也就越多. 后面连续的几个干货将重点围绕windows系统感受取证技术.您将看见,双系统(linux和windows)中的细节落实.每一个消费心理会导致不一样的策划行为判断.同理,每一个技术细

Windows Server镜像仿真.vmdk镜像仿真 时间过得真快呀!--[suy999] Windows Server镜像仿真.vmdk镜像仿真 一.qemu-img镜像转换工具 (一)raw.qcow2等镜像装换为vmdk 1.RAW镜像转换命令 二.VMware新建虚拟机 1.新建虚拟机 2.固件类型->"BIOS"*"注意一"!!! 3.处理器.内存及其它配置 4.磁盘类型->"IDE"*"注意二"!!!

来自俄罗斯的取证大厂Belkasoft,旗下的主力产品Belkasoft Evidence Center有不错的评价,除了BEC之外,咱们Yuri老兄也是佛心来着的,提供了一个免费内存镜像工具RamCapture给同好们享用. 它有32bit及64bit版本,无须安装,直接运行即可.但须以系统管理者权限运行.默认会将内存镜像储存在RamCapture相同路径之下.且会很贴心地以当天日期设定文件名,后缀名默认为.mem． 有意思的是,在完成镜像后,还会打个小广告,如下图红色底线所示. 好工具不嫌多

We could find some important clue in Restore Point because "System Protection" of volume C is enabled in Windows default settings. Lots of data in "My Documents", "Desktop", and "Favorotes". Further more lots of Win

一:LoadRunner常见问题整理 1.LR 脚本为空的解决方法: 1.去掉ie设置中的第三方支持取消掉 2.在系统属性-高级-性能-数据执行保护中,添加loadrunner安装目录中的vugen.exe文件. 有可能是由于录制的URL地址采用的是localhost的问题,改成分配的IP地址或127.0.0.1试试. 3.插入文本检查点步骤时,使用web_reg_find,通常TextPfx和TextSfx中会包含双引号,需要进行转义(用斜杠),例如: web_reg_find("Search

PoolMon 显示   PoolMon 在命令窗口中显示有关池内存分配的数据列.使用箭头键.PAGE UP 和 PAGE DOWN 键在数据间滚动. 注意   若要查看全部 PoolMon 显示,则命令提示符窗口必须至少为 80 个字符宽(宽度 = 80)和 53 行高(高度 = 53):并且命令提示符窗口缓冲区必须至少 500 个字符宽度(宽度 = 500)和 2000 行高度(高度 = 2000).否则,显示可能会被截断. 下表说明了 PoolMon 显示中的列. 列名称 说明 Tag 分

Controller使用驱动程序(如mdrv.exe或r3vuser.exe)来运行Vuser.用户可以在Controller的run-time setting中选择Vuser的运行方式:多进程/多线程. 如果将每个Vuser作为一个进程运行,那么同一驱动程序将为Vuser的每个实例多次启动(并加载)到内存中.将同一驱动程序加载到内存中会占用大量的RAM(随机访问存储器)和其他系统资源.这会限制可在任何Load Generator上运行的Vuser数. 如果将每个Vuser作为线程运行,Cont

一:LoadRunner常见问题整理 1.LR 脚本为空的解决方法: 1.去掉ie设置中的第三方支持取消掉 2.在系统属性-高级-性能-数据执行保护中,添加loadrunner安装目录中的vugen.exe文件. 有可能是由于录制的URL地址采用的是localhost的问题,改成分配的IP地址或127.0.0.1试试. 3.插入文本检查点步骤时,使用web_reg_find,通常TextPfx和TextSfx中会包含双引号,需要进行转义(用斜杠),例如: web_reg_find("Search

The latest Windows 10 will be more and more popular in the very near future. Now let's take a look if we could conduct a live forensic on Win10 by using LiveView 0.8 RC1. 1.The OS version of suspect's laptop is Windows 10. After acquiring we got the