什么叫电子取证,电子物证取证技术

　　取证工具的易变性

　　Volatility是一个开源的内存取证框架，用于分析导出的内存镜像，获取内核数据结构，使用插件获取内存细节和系统运行状态。特点：

　　开源：用Python编写，易于与基于Python的主机防御框架集成。

　　多平台支持：全面支持Windows、Mac、Linux。

　　易扩展：通过插件扩展波动率的分析能力。

　　工具帮助

　　复制。将原始文件从u盘转储到桌面，并授予打开和查看终端的权限。chmod x 7.raw授予读写权限，然后查看volatile-h//help命令来分析内存文件。

　　注意volatility -f 7.raw imageinfo//文件信息和概要文件，输出关于转储文件系统的信息。如果您获得了转储文件，但不知道它的系统信息，您可以使用此命令进行判断。它会向您输出最可能的系统版本信息。我不是来评判的。文件转储系统是win 7 sp 1 x 64 volatile-F7。raw-profile=win 7 sp 1 x 64 PS list//查看列表进程和物理内存的位置，图中偏移量(v)为表进程的程序名；PID(processid ):PID是一个程序被操作系统加载到内存中成为一个进程后动态分配的资源。每次运行程序都会重新加载操作系统，每次PID都不一样。PID(parentprocessid) :PPID是程序的父进程号。Thds表示线程的数量。指示启动进程开始运行的时间。volatility-F7 . raw-profile=win 7 sp 1 x 64 mem dump-p364-DMEM//dump将内存存储在我当前的系统目录文件夹中。请事先在这里创建目录文件夹。否则，将会报告一个错误。-p指定PID。-指定D目录文件夹。检查hexeditor364.DMP//dump文件的内容。

　　查看strings364.DMP//DMP文件中的字符

　　Strings 364.dmp grep password //提取字符串grep密码

　　可以查看volatility-F7 . raw-profile=win 7 sp 1 x 64 p tree//父子进程。

　　volatility-F7 . raw-profile=win 7 sp 1 x 64配置单元列表//检查计算机配置单元注册表中的数据库文件。

　　volatility-F7 . raw-profile=win 7 sp 1 x 64 hive dump-o0x fffff 8 a 0008 c 8010//按虚拟内存地址显示注册表内容

　　volatility-F7 . raw-profile=win7sp 1 x64 print key-

　　k " Sam domains account users names "

　　//检查用户帐户

　　volatility-F7 . raw-profile=win7sp 1 x64 print key-k

　　"软件 Microsoft windows nt 当前版本 winlogon "

　　//检查最后登录的帐户

　　volatility-F7 . raw-profile=win 7 sp 1 x 64用户辅助//正在运行的程序，已经运行了多少次，最后一次运行的时间。