triage Memtriage：一款Windows内存取证工具

Memtriage是一个Windows内存取证工具。该工具使用Winpmem抓取内存转储，并使用Volatility对其进行分析。

注意事项:

启用设备保护后，该工具将无法正常工作。

它应该在部署前在机器上进行测试

Volatility 插件

当前支持以下插件:

列举进程

dlllist

ldrmodules

模块

处理

玛芬德

driverirp

psxview

混合动力车

svcscan

getsids

vadinfo

工具

内核命令行

envars

veri info

原子

shimcachemem

apihooks

脱壳工具

dlldump

moddump

转储文件

volshell

使用示例 usage: memtriage.exe [-h] [--unload] [--load] [--debug] [--service SERVICE] [--output OUTPUT] [--dumpdir DUMPDIR] [--base BASE] [--offset OFFSET] [--memory MEMORY] [--pid PID] [--leave] [--plugins PLUGINS] [--physoffset PHYSOFFSET] [--physical] [--ignore] [--regex REGEX] [--name NAME] [--keepname] Memtriage options: optional arguments: -h, --help 显示帮助信息并退出 --unload 卸载驱动程序并退出 --load 加载驱动程序并退出 --debug 运行时输出调试消息 --service SERVICE 更改服务名称（默认为：pmem） --output OUTPUT 输出类型：json/text/csv --dumpdir DUMPDIR 将文件转储到的目录 （dlldump,procdump,moddump,vaddump,dumpfiles） --base BASE 转储PE文件 (dlldump,procdump,moddump) --offset OFFSET 进程物理偏移量 (dlldump,procdump,moddump,vaddump,dumpfiles) --memory MEMORY Carve作为一个内存样本而不是exe/disk (dlldump,procdump,moddump) --pid PID 对此进程ID进行操作 --leave 让pmem服务与驱动程序一起运行 --plugins PLUGINS 以逗号分隔要运行的插件列表：dlldump netscan cmdline procdump envars moddump handles dlllist psxview vadinfo dumpfiles svcscan malfind atoms apihooks volshell vaddump privs driverirp shimcachemem ldrmodules modules verinfo pslist getsids --physoffset PHYSOFFSET 在物理地址PHYSOFFSET转储文件对象 (dumpfiles) --physical 显示对象的物理地址 (pslist,handles,modules) --ignore 忽略模式匹配中的大小写(dumpfiles,verinfo) --regex REGEX 转储匹配REGEX的文件 (dumpfiles,driverirp,privs) --name NAME 要操作的进程/对象的名称 --keepname 保留原始文件名 (dumpfiles) --outfile OUTFILE 合并输出文件 (默认为：stdout) 无需指定配置文件

mem分流将自动找到配置文件，并选择使用适当的设置运行。如果没有精确的匹配，Memtriage将尝试使最近的命名配置文件可用。因此，对象定义可能排列不准确(如进程名等)。)，并且在用不正确的配置文件运行Volatility时可能会看到。您可以将配置文件添加到Volatility代码中，可执行文件将由pyinstaller重新编译。

装卸司机

默认情况下，memtriage.exe将尝试在首次运行时加载驱动程序，并在退出时卸载它。此外，您还可以使用–加载和–卸载选项手动加载和卸载驱动程序。您也可以使用–leave选项来保持插件在运行后加载。

>。mem伤检分类. exe-leave-plugins = dump files-dump dir = outdir-phys offset = 1066160184-keepname服务名称

创建的默认服务名是pmem。您可以使用–service =选项来指定另一个服务名称。如果您保持驱动程序加载，您必须在将来的调用中使用此选项。示例:

>。memtriage.exe-离开-服务=某些名称-插件=dlllist - pid=2924 [snip]>;mem伤检分类. exe-unload-service = somename运行插件

您可以使用–plugins =选项指定同时执行多个插件，用逗号分隔。示例:

>。memtriage.exe-插件=pslist，handles，dlllist

其他选项:

>。mem伤检分类. exe-plugins = pslist，handles，dlllist，dllddump，dumpfiles，shimcachehem，vol shell-outfile = outfile . txt-PID = 2924-dump dir = outir-leave-keep name-phys offset = 106616016

你可以在这里下载这个工具，包括pyinstaller的独立可执行文件:https://github.com/gleeda/memtriage/releases

*参考资料来源:github，FB边肖secist编译，请指出它来自FreeBuf.COM