Herramientas de usuario
master_cs:analisis_forense:restxt
Diferencias
Muestra las diferencias entre dos versiones de la página.
| Ambos lados, revisión anteriorRevisión previa | |||
| master_cs:analisis_forense:restxt [2025/07/01 12:59] – thejuanvisu | master_cs:analisis_forense:restxt [2025/07/01 13:33] (actual) – thejuanvisu | ||
|---|---|---|---|
| Línea 461: | Línea 461: | ||
| + | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ||
| + | |||
| + | |||
| + | |||
| + | |||
| + | Volatility | ||
| + | |||
| + | Es un framework forense de memoria RAM de código abierto. Se puede usar para el análisis y extracción de datos volátiles de sistemas en ejecución. Permite: | ||
| + | - Analizar dumps de memoria | ||
| + | - Identificar procesos, conexiones de red y módulos cargados | ||
| + | - Detectar malware en memoria. | ||
| + | |||
| + | Versiones de Volatility: | ||
| + | - Volatility2: | ||
| + | * Descontinuado | ||
| + | * Basado en Perfiles estáticos | ||
| + | * Plugins asociados a perfiles de memoria concretos | ||
| + | |||
| + | - Volatility3: | ||
| + | * Los perfiles de memoria funcionan de forma dinámica | ||
| + | * Los plugins se basan en el modelo de objeto | ||
| + | |||
| + | |||
| + | |||
| + | Perfiles de Memoria y Symbol Tables | ||
| + | - Perfiles de memoria (Volatility2) | ||
| + | * Permiten intempretar correctamente la estructura interna de un volcado de memoria | ||
| + | * Así se pueden identificar procesos, módulos, conexiones y otros datos del SO | ||
| + | * Puede ser válido para más de una versión de un SO. | ||
| + | |||
| + | - Symbol Tables (Volatility 3) | ||
| + | * Se encargan de representar las estructuras de memoria del SO | ||
| + | |||
| + | |||
| + | Comandos importantes de volatility2: | ||
| + | - imageinfo: Permite ver datos del volcado de memoria y sugiere que perfiles podemos usar -> volatility2 -f / | ||
| + | - pslist: permite ver los procesos en ejecución -> volatility2 -f / | ||
| + | - netscan: Detecta las conexiones activas -> volatility2 -f / | ||
| + | - cmdscan: Extrae el historial de comandos -> volatility2 -f / | ||
| + | - filescan: Lista los archivos cargados en memoria -> volatility2 -f / | ||
| + | - dumpfiles: Permite extraer ficheros de la memoria -> volatility2 -f / | ||
| + | - clipboard: Muestra los contenidos del portapapeles -> volatility2 -f / | ||
| + | - procdump: Extrae la memoria correspondiente a un proceso -> volatility2 -f / | ||
| + | - hivelist: Lista los gives del registro cargados en memoria -> volatility2 -f / | ||
| + | - hivedump: Muestra las subclaves de un hive -> volatility2 -f / | ||
| + | - hashdump: Extrae los hashes de contraseñas de los usuarios -> volatility2 -f / | ||
| + | |||
| + | |||
| + | Comandos importantes volatility3: | ||
| + | - windows.info.Info: | ||
| + | - Windows.pslist: | ||
| + | - windows.netscan: | ||
| + | - windows.cmdscan: | ||
| + | - windows.filescan: | ||
| + | - windows.dumpfiles: | ||
| + | * volatility3 windows.dumpfiles --virtaddr < | ||
| + | * volatility3 windows.dumpfiles --pid <ID de proceso> | ||
| + | - windows.registry.hivelist: | ||
| + | - windows.hashdump: | ||
| + | |||
| + | |||
| </ | </ | ||
master_cs/analisis_forense/restxt.txt · Última modificación: 2025/07/01 13:33 por thejuanvisu
Herramientas de la página
