藉助Rekall進行內存實時分析

工作中，使用過Volatility進行內存取證的朋友可能已經注意到了，它有一個缺點：無法進行實時內存分析。那麼，如果需要實時內存取證的話，該怎麼辦呢？別急，這時候Rekall就可以派上用場了。

Rekall的下載地址如下所示:

https://github.com/google/rekall/releases

Rekall支持以下操作系統：

·Microsoft Windows XP Service Pack 2和3

·Microsoft Windows 7 Service Pack 0和1

·Microsoft Windows 8和8.1

·Microsoft Windows 10

·Linux Kernels 2.6.24以及後續版本

·OSX 10.7-10.12.x

在本文中，我將使用Windows平台下的Rekall軟體，該軟體的安裝非常簡單，這裡就不介紹了。

需要注意的是，Rekall需要以管理員身份運行才能執行實時分析。此外，有時還必須指定相應的配置文件才能進行分析。為了找到正確的配置文件，請在Rekall控制台中鍵入以下命令:

version_scan name_regex="krnl"

然後，還需要找到ntkrnlmp.pdb的guid

現在，請輸入下列命令，以退出rekall控制台：

quit

接著，使用以下命令再次運行rekall（注意，在命令中提供了相應的guid）：

這樣，我們就可以跟rekall一起玩耍了，具體如下所示：

列出可用的插件

dir(plugins)

列出正在運行的進程：

pslist

列出進程樹：

pstree

查看服務並將輸出保存到services.txt文件中：

services(output="services.txt")

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！