标签：插件 imageinfo Very CPPUCTF Forensic 信息 userassist 解法 volatility
请首先阅览原解法：https://mp.weixin.qq.com/s/lyucQMjQTs4AwEc4EpYKPQ
以下解法仅使用了 volatility：
使用 imageinfo 插件获取内存文件基本信息，分析出是哪个操作系统
volatility -f windows.vmem imageinfo
尝试使用 pslist 插件的输出中直接无法得到 calc.exe 的信息，由于 plist 列出的是进程信息，考虑是该进程已被销毁
原解法是人工 dump 注册表的方式提取出程序运行信息，这里使用另外一个 volatility 插件 userassist
但是使用 userassist 同样可以提取出进程信息，通过它找到了 Calculator.lnk （快捷方式）的最后执行时间
volatility -f windows.vmem --profile=Win7SP1x64 userassist
同样地 Chrome 的运行次数也可以找出
CPPUISA{21-07-2020_18:21:35_19}
标签：插件,imageinfo,Very,CPPUCTF,Forensic,信息,userassist,解法,volatility 来源： https://www.cnblogs.com/zhwer/p/14649673.html
本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享； 2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关； 3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关； 4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除； 5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。