Knoppia

Esta página es de solo lectura. Puedes ver la fuente pero no puedes cambiarla. Pregunta a tu administrador si crees que esto es incorrecto.

====== Volatility2 para novatos ======

Para poder usar Volatility2 en nuestro equipo necesitamos Python 2.XX, si se tiene la versión 3 pueden haber problemas a la hora de ejecutar comandos.


===== Primeros pasos =====
Cuando tenemos un dump de memoria lo primero que debemos hacer es identificar el sistema operativo ya que en función de sobre cual estemos haciendo el análisis forense es posible que necesitemos un perfil u otro. Para revisar la información del dump de memoria se usa el siguiente comando:
<code>
.\vol.exe -f <Ruta_del_dump_de_memoria> imageinfo
</code>
Un ejemplo real de la ejecución del comando sería el siguiente:
<WRAP column 100%>
{{:master_cs:analisis_forense:pasted:20250514-205513.png}}
</WRAP>
En este caso podemos ver que se recomiendan varios perfiles, por lo que seleccionaremos uno de ellos y procederemos en el futuro con este. En este caso se elige el perfil "Win7SP1x64"

===== Obtener el historial de comandos con volatility2 =====

Para obtener el historial de comandos de un usuario se utiliza el siguiente comando poniendo la ubicación del dump de memoria y el perfil que seleccionamos en el paso anterior:
<code>
.\vol.exe -f <Ruta_del_dump_de_memoria> --profile=<Perfil_Seleccionado> consoles
</code>
Siguiendo el ejemplo anterior, se usaría el comando de la siguiente manera:
<WRAP column 100%>
{{:master_cs:analisis_forense:pasted:20250514-210337.png}}
</WRAP>

Knoppia

Herramientas de usuario

Herramientas del sitio

Herramientas de la página