實驗二內存取證實驗目的1、掌握通過命令指令取證，并熟悉基本的取證信息；2、了解計算機系統取證基本方法，并結合Sysinternals工具進行取證；實驗內容通過CMD和Sysinternals工具結合使用，從計算機內存中獲得系統當前時間日期，系統信息，handle，PsPasswd,listdlls，PsGetSid，PsInfo，Pskill，PsList，PsLoggedOn，PsLogList，PsService，PsShutdown，PsSuspend，PsFile，arpfport，ipconfig，nbtstat，Netstat，SC，string等內存信息。實驗步驟下載sysinternals工具/zh-cn/sysinternals/；開始——運行——鍵入“cmd”——結合sysinternals工具對系統進行取證。四、CMD和Sysinternals工具結合使用1、取證系統當前的時間和日期圖2.12、PsPasswd——變更帳戶密碼。PsPasswd是一個用來更改WinNT/2K用戶密碼的程序。pstool下載下載后解壓成文件夾，放置于C:\Windows\System32，添加PATH環境變量，cmd中輸入pspasswd，彈出確認框，同意，可以批量遠程更改密碼。PsPasswd有兩大優點一是便于管理不在域中的遠程系統；二是簡化了某些管理腳本。

圖2.23、查看系統信息：圖2.3圖2.44、指令arp使用arp-a指令可以查看本機的保存的arp緩存使用arp-dIP可以刪除某主機的arp記錄使用arp-d*可以刪除某主機的所有arp記錄在ARP緩存中顯示(修改)條目。ARP緩存包含一個或多個表，這些表用于存儲IP地址及其解析的以太網或令牌環物理地址。計算機上安裝的每個以太網或令牌環網絡適配器都有一個單獨的表。在不帶參數的情況下使用

，arp

顯示幫助信息。圖2.5圖2.65、使用ipconfig可以查看本機的ip地址圖2.7圖2.8handle——這個易於操縱的命令列公用程式能夠顯示檔案開啟的種類和使用的處理程序等更多資訊。如果你不加任何參數，只輸入handle命令時（就像我上面那樣），那么這個工具會返回系統所有進程打開的所有文件句柄，當然你也可以加一些參數來進行設定。命令的正則表達式如下：handle[[-a][-u]|[-c<handle>[-l][-y]]|[-s]][-p<processname>|<pid>|<name>]這個程序有三個部分，handle是程序名，第一個參數有3個可以并列出現的可選項。-a用于設定顯示的句柄不限于文件句柄，還把所有的注冊表項，端口項，同步項，線程和進程都顯示出來。-c關閉某個句柄（16進制表示）的意思，進程由PID來標識。-l顯示頁面交換文件的大小。-y不提示關閉句柄的信息。-s打印每種已打開句柄類型的引用計數。-u搜索句柄時顯示擁有這些句柄的用戶名。-p此參數可以縮小Handle的掃描范圍，只掃描以此名稱開頭的進程，而不對系統中的所有句柄進行檢查。-name指示Handle搜索對帶有特定名稱的對象的引用。圖2.9圖2.10Listdlls——列出所有目前載入的DLL，包括載入位置和他們的版本編號ListDL用于報告加載到進程中的DLL?？梢允褂盟谐黾虞d到所有進程中、加載到特定進程中的所有DLL，或列出加載了特定DLL的進程。ListDL還可以顯示DLL的完整版本信息（包括其數字簽名），并可用于掃描進程以掃描無符號DLL。圖2.118、nbtstat該命令用于顯示本地計算機和遠程計算機的基于TCP/IP（NetBT）協議的NetBIOS統計資料、NetBIOS名稱表和NetBIOS名稱緩存。NBTSTAT可以刷新NetBIOS名稱緩存和注冊的WindowsInternet名稱服務(WINS)名稱。RemoteName是遠程計算機的NetBIOS計算機名稱。使用不帶參數的NBTSTAT顯示幫助信息。-a和–A選項這兩個參數的功能相同，都是顯示遠程計算機的名稱表。區別是-a選項后面既可跟遠程計算機的計算機名，也可跟IP地址，-A選項后面只能跟遠程計算機的IP地址。-c選項顯示NetBIOS名稱緩存內容、NetBIOS名稱表及其解析的各個地址。列出遠程計算機的名稱及其IP地址的緩存，這個參數就是用來列出在你的NetBIOS里緩存的你連接過的計算機的IP。圖2.22圖2.23圖2.24-n選項顯示本地計算機的NetBIOS名稱表。Registered中的狀態表明該名稱是通過廣播或WINS服務器注冊的。-r選項顯示通過廣播和經由WINS解析的名稱。-R選項清除netbios名稱緩存中的所有名稱后，重新裝入lmhosts文件，這個參數就是清除nbtstat-c所能看見的緩存里的ip緩存記錄。-s和–S選項顯示NetBIOS客戶端和服務器會話，大寫的-S選項列出具有目標IP地址的會話表，小寫的–s選項列出將目標IP地址轉換成計算機NETBIOS名稱的會話表。-RR選項將名稱釋放包發送到WINS，然后啟動刷新Interval選項重新顯示所選的統計，在每次顯示之間暫停interval秒。按CTRL+C停止重新顯示統計。如果省略該參數，netstat將打印一次當前的配置信息。以下的命令將每隔5秒鐘顯示一次統計信息。9、SC圖2.25圖2.26圖2.27常用用法創建輸入命令可以看到幫助文檔：圖2.28查詢:scqueryredis啟動：圖2.29停止：圖2.30配置：圖2.31PsGetSid——顯示電腦或使用者的SIDPsGetsid允許將Sid轉換為其顯示名稱，反之亦然。它適用于內置帳戶、域帳戶和本地帳戶。圖2.32參數描述-u指定用于登錄到遠程計算機的可選用戶名。-p指定用戶名的可選密碼。如果省略此密碼，系統會提示輸入隱藏密碼。帳戶PsGetSid將報告指定用戶帳戶（而不是計算機）的SID。SIDPsGetSid將報告指定SID的帳戶。計算機直接PsGetSid在遠程計算機或指定的計算機上執行命令。如果省略計算機名PsGetSid在本地系統上運行該命令，并且指定(\*)的通配符，則PsGetSid將在當前域中的所有計算機上運行該命令。@filePsGetSid將在文件中列出的每臺計算機上執行命令。如果要查看計算機的SID，只需將計算機的名稱作為命令行參數傳遞即可。如果要查看用戶的SID，請將該帳戶命名為(例如，命令行上的"管理員")和可選的計算機名稱。如果從中運行的帳戶在要查詢的計算機上沒有管理權限，請指定用戶名。如果未將密碼指定為選項，

PsGetSid

將提示你輸入密碼，這樣就可以在不回顯顯示的情況下鍵入密碼。PsInfo——取得有關系統的資訊psinfo是一個搜集機器軟硬件信息的工具，它可以獲得操作系統信息，硬件信息和軟件信息。它的參數有：-u：后面跟用戶名-p：后面是跟密碼的,如果建立ipc連接后這兩個參數則不需要。（如果沒有-p參數，則輸入命令后會要求你輸入密碼）-h：是顯示它安裝了哪些補丁包-s：是顯示它裝了哪些軟件-d：是顯示磁盤信息。圖2.3312、PsKill——終止本機或遠端處理程序PsKill

是一種終止實用工具，它不僅執行資源工具包的版本，還可以終止遠程系統上的進程。甚至不必在目標計算機上安裝客戶端，使用

PsKill

終止遠程進程。圖2.34參數描述-顯示支持的選項。-t終止進程及其后代。\\computer指定要終止的進程正在其上執行的計算機。必須通過NT網絡鄰居訪問遠程計算機。-u用戶名如果要終止遠程系統上的進程，并且正在中執行的帳戶對遠程系統沒有管理權限，則必須使用此命令行選項以管理員角色登錄。如果未將密碼與-p選項一起包含，

PsKill

會提示輸入密碼，而不會將輸入回顯到顯示器。-ppassword此選項允許你在命令行上指定登錄密碼，以便可以從批處理文件使用PsList。如果指定帳戶名稱并省略-p選項PsList會以交互方式提示輸入密碼。進程ID指定要終止的進程的進程ID。進程名稱指定要終止的進程或進程的進程名稱。13、PsList——顯示處理程序和執行緒的相關資訊PsList使用WindowsNT/2K性能計數器來獲取它顯示的信息。可以在MSDN中查找WindowsNT/2K性能計數器的文檔，包括源代碼，以WindowsNT的內置性能監視器PerfMon。圖2.35參數描述pslistexp顯示以"exp"開頭的所有進程的統計信息，其中包括"資源管理器"。-d顯示線程詳細信息。-m顯示內存詳細信息。-x顯示進程、內存信息和線程。-t顯示進程樹。-s[n]在任務管理器模式下運行，指定指定的秒。按Escape中止。-rn任務管理器模式刷新率（秒）(默認值為1)。\\computerPsList將顯示指定的NT/Win2K系統的信息，而不是顯示本地系統的進程信息。如果你的安全憑據不允許你從遠程系統獲取性能計數器信息，則包含帶有用戶名和密碼的-u開關以登錄到遠程系統。-u指定用于登錄到遠程計算機的可選用戶名。-p此選項可讓你在命令行上指定登錄密碼，以便可以使用批處理文件中的

PsList

。如果指定帳戶名稱，并忽略-p選項

PsList

會以交互方式為密碼提供提示。name顯示以指定名稱開頭的進程的相關信息。-e與進程名稱完全匹配。pid此參數不是列出系統中所有正在運行的進程，而是將

PsList

掃描范圍縮小到具有指定PID的進程。因此pslist5313、PsLoggedOn——顯示使用者登錄至一個系統PsLoggedOn

是一個小程序，它顯示本地登錄的用戶和通過本地計算機或遠程計算機的資源登錄的用戶。如果指定用戶名而不是計算機，

PsLoggedOn

會搜索網絡鄰居中的計算機，并告知用戶當前是否登錄。PsLoggedOn

對本地登錄用戶的定義是已將配置文件加載到注冊表中的用戶，因此

PsLoggedOn

通過掃描HKEY_USERS密鑰下的密鑰確定登錄的用戶。對于名稱為用戶SID的每個密鑰(安全標識符)，

PsLoggedOn

將查找并顯示相應的用戶名。為了確定誰通過資源共享登錄到計算機，

PsLoggedOn

使用

NetSessionEnum

API。請注意

，PsLoggedOn

將顯示你通過資源共享登錄到要查詢的遠程計算機，因為

PsLoggedOn

需要登錄才能訪問遠程系統的注冊表。圖2.36參數描述-顯示支持的選項和用于輸出值的度量單位。-l只顯示本地登出，而不是同時顯示本地和網絡資源。-x不要顯示登錄時間。\\computername指定要列出其登錄信息的計算機的名稱。username如果指定用戶名

PsLoggedOn

，則網絡將搜索該用戶登錄的計算機。如果要確保在要更改其用戶配置文件配置時特定用戶未登錄，這非常有用。15、PsService——檢視及控制服務PsService是用于Windows的服務查看器和控制器。與WindowsNT和Windows2000資源工具包中包含的SC實用工具一樣，

PsService顯示服務的狀態、配置和依賴項，并允許你啟動、停止、暫停、恢復和重新啟動服務。與SC實用程序不同的是，

PsService

使您能夠使用不同的帳戶登錄到遠程系統，當您運行該帳戶的帳戶在遠程系統上沒有所需的權限時。

PsService

包括唯一的服務搜索功能，該功能標識網絡上服務的活動實例。例如，如果要查找運行DHCP服務器的系統，請使用搜索功能。圖2.37參數描述query顯示服務的狀態。config顯示服務的配置。setconfig設置服務的啟動類型(禁用、自動、需求)。start啟動服務。stop停止服務。restart停止然后重新啟動服務。pause暫停服務實現持續恢復暫停的服務。屬于列出依賴于指定的服務。security轉儲服務的安全描述符。find在網絡中搜索指定的服務。\\computer以指定的NT/Win2K系統為目標。如果你的安全憑據不允許你從遠程系統獲取性能計數器信息，則包含帶有用戶名和密碼的-u開關以登錄到遠程系統。如果指定-u選項，而不是使用-p選項的密碼，則

PsService

將提示你輸入密碼，而不會將其回顯到屏幕。PsLogList——傾印事件記錄檔的記錄PsLogList

是elogdump的克隆，但

PsLogList

允許您在當前安全憑據集不允許訪問事件日志的情況下登錄到遠程系統，

PsLogList

從所查看的事件日志所在的計算機中檢索消息字符串。圖2.38參數描述@file在文件中列出的每臺計算機上執行命令。-a指定日期之后的轉儲記錄時間戳。-b轉儲記錄在指定日期之前有時間戳。-c顯示事件日志后將其清除。-d僅顯示前n天的記錄。-c顯示事件日志后將其清除。-e排除具有指定ID或Id的事件(最多10個)。-f篩選帶有篩選器字符串(的事件類型，例如"-fw"以篩選)的警告。-h僅顯示前n小時內的記錄。-i僅顯示具有指定ID或Id的事件(最多10個)。-l轉儲指定的事件日志文件中的記錄。-m僅顯示前n分鐘的記錄。-n只顯示指定的最新條目數。-o僅顯示來自指定事件源的記錄(例如\"-ocdrom\")。-p指定用戶名的可選密碼。如果省略此密碼，系統會提示輸入隱藏密碼。-q省略指定事件源或源(的記錄，例如\"-qcdrom\")。-rSDump從最晚到最近的日志。-s此開關具有

PsLogList

的打印事件日志記錄，其中每行包含逗號分隔的字段。此格式便于文本搜索，例如psloglist-t默認的分隔符是一個逗號，但可使用指定的字符進行重寫。-u指定用于登錄到遠程計算機的可選用戶名。-w等待新事件，并在生成(僅)時將其轉儲。-x轉儲擴展數據事件日志事件日志PsShutdown——關機及選擇重新啟動電腦PsShutdown

是一個命令行實用工具，類似于Windows2000資源工具包中的關閉實用工具，但能夠執行更多操作。除了支持關閉或重新啟動本地或遠程計算機的相同選項外，PsShutdown

還可以注銷控制臺用戶或鎖定控制臺(鎖定需要Windows2000或)。

PsShutdown

不需要手動安裝客戶端軟件。圖2.39參數描述-顯示支持的選項。計算機在指定的遠程計算機或計算機上執行命令。如果省略計算機名稱，則命令在本地系統中運行，如果指定通配符(\\*)，則該命令在當前域中的所有計算機上運行。@file在指定的文本文件中列出的每臺計算機中運行命令。-u指定用于登錄到遠程計算機的可選用戶名。-p指定用戶名的可選密碼。如果省略此密碼，系統會提示輸入隱藏的密碼。-a僅在倒計時(時中止關閉)。-c允許交互式用戶中止關閉。-d掛起計算機。-e關閉原因代碼。為用戶原因代碼指定"u"，為計劃關閉原因代碼指定"p"。xx是導致代碼(必須小于256)。yy是小于65536(的次要原因)。-f強制所有正在運行的應用程序在關閉期間退出，而不是讓他們有機會正常保存其數據。-h使計算機休眠。-k如果計算機不支持(關閉，則關閉計算機)。-l鎖定計算機。-m使用此選項可以指定在關閉倒計時開始時向登錄用戶顯示的消息。-n指定連接到遠程計算機的超時（以秒表示）。-o注銷控制臺用戶。-r關閉后重啟。-s關閉但不關閉電源。-t指定關閉時間（以秒(）：默認為20秒)或關閉時間(以24小時表示法)。-v關閉前指定秒數的顯示消息。如果省略此參數，則將顯示關閉通知對話框，并且將值指定為0會導致無對話。18、PsSuspend——暫停及繼續處理程序PsSuspend

使你可以掛起本地或遠程系統上的進程，這在進程使用資源(例如網絡、CPU或磁盤)你要允許不同進程使用的情況下是必需的。掛起操作允許在稍后某個時間點繼續操作，而不是終止占用資源的進程。圖2.40參數描述-顯示支持的選項。-r如果已掛起指定的進程，則恢復指定的進程。\\computer指定要在其上執行掛起或恢復操作的計算機。必須可通過NT網絡鄰居訪問遠程計算機。-u用戶名如果要掛起遠程系統上的進程，而你在中執行的帳戶在遠程系統上沒有管理權限，則必須使用此命令行選項以管理員身份登錄。如果不將密碼包含-p選項，則

PsSuspend

將提示你輸入密碼，而不會將輸入回顯到顯示狀態。-p密碼此選項可讓你在命令行上指定登錄密碼，以便可以使用批處理文件中的

PsSuspend

。如果指定帳戶名稱，并忽略-p選項

PsSuspend

會以交互方式為密碼提供提示。進程id指定要掛起或恢復的進程的進程ID。進程名稱指定要掛起或恢復的進程的進程名稱。PsSuspend

是一個不斷增長的Sysinternals命令行工具的一部分，有助于管理名為

PsTools的本地和遠程系統。19、psfile——檢視遠端開啟檔案有哪些"Netfile"命令顯示了其他計算機在執行命令時在系統上打開的文件的列表，但它會截斷長路徑名稱，而不會讓你看到遠程系統的信息。

PsFile

是一個命令行實用工具，用于顯示系統上遠程打開的文件的列表，還允許你按名稱或文件標識符關閉打開的文件。圖2.41拒絕訪問的原因可能是因為防火墻。Netstat顯示活動TCP連接、計算機正在偵聽的端口、以太網統計信息、IP路由表、IP路由表、IP、ICMP、TCP和UDP協議)的IPv4統計信息(，以及IPv6、ICMPv6、基于IPv6的TCP以及基于IPv6協議)的UDP的IPv6統計信息(在不帶參數的情況下使用，此命令顯示活動的TCP連接)。圖2.42參數說明-a顯示計算機正在偵聽的所有活動TCP連接以及TCP和UDP端口。-b顯示創建每個連接或偵聽端口所涉及的可執行文件。在某些情況下，已知可執行文件托管多個獨立組件，在這些情況下，將顯示創建連接或偵聽端口所涉及的組件序列。在這種情況下，可執行文件名稱位于底部的[]中，頂部是它調用的組件，以此類推，直到達到TCP/IP。請注意，此選項可能很耗時，除非有足夠的權限，否則將失敗。-E顯示以太網統計信息，例如發送和接收的字節數和數據包數。此參數可以與

-s結合使用。-n但是，顯示活動的TCP連接，地址和端口號以數字表示，并且不會嘗試確定名稱。-o顯示活動的TCP連接，并包括每個(PID)的進程ID。可以在"進程"選項卡上找到基于PID的應用程序Windows任務管理器。此參數可以與

-a、

-n

和

-p結合使用。-p

<Protocol>顯示協議指定的協議

的連接。在這種情況下，

協議可以是tcp

、udp、tcpv6或udpv6。如果此參數與

-s

一起用于按協議顯示統計信息，則協議可以是tcp、udp、icmp、ip、tcpv6、udpv6、icmpv6或ipv6。-S按協議顯示統計信息。默認情況下，會顯示TCP、UDP、ICMP和IP協議的統計信息。如果安裝了IPv6協議，則會顯示基于IPv6的TCP、基于IPv6的UDP、ICMPv6和IPv6協議的統計信息。

-p

參數可用于指定一組協議。-r顯示IP路由表的內容。這等效于routeprint命令。<interval>每隔間隔秒重新顯示

所選

信息。按CTRL+C停止重新播放。如果省略此參數，則此命令僅打印所選信息一次。/?在命令提示符下顯示幫助。21、PsService——檢視及控制服務（同15）圖2.43Strings——搜尋binaryimages中的ANSI和UNICODE字串。在對象文件或\t"/weixin_43824520/article/details/_blank"二進制文件中查找可打印的字符串。字符串是4個或更多可打印字符的任意序列，以換行符或空字符結束。strings命令對識別隨機對象文件很有用。圖2.44下表適用于Linux系統：-a--all：掃描整個文件而不是只掃描目標文件初始化和裝載段-f–print-file-name：在顯示字符串前先顯示文件名-n–bytes=[number]：找到并且輸出所有NUL終止符序列-：設置顯示的最少的字符數，默認是4個字符-t--radix={o,d,x}：輸出字符的位置，基于八進制，十進制或者十六進制-o：類似--radix=o-T--target=：指定二進制文件格式-e--encoding={s,S,b,l,B,L}：選擇字符大小和排列順序:s=7-bit,S=8-bit,{b,l}=16-bit,{B,L}=32-bit@：讀取中選項Fport可以把端口和應用程序對應起來FPort支持WindowsNT4、Windows2000和WindowsXP。FPort可以把本機開放的TCP/UDP端口同應用程序關聯起來，這和使用"netstat-an"命令產生的效果類似，但是該軟件還可以把端口和運行著的進程關聯起來,并可以顯示進程PID、名稱和路徑。該軟件可以用于快速識別未知的開放端口和與之關聯的應用程序。圖2.45五、Linux內存取證：1、查看內存剩余free：圖2.46其中，total：內存總容量，這里表示255268KBused：被分配的內存free：未被分配的內存total=used+freetotal≈used+available當前真實可用的內存=已分配但是未被使用的buffer+已分配但是未被使用的cached+freeused=實際使用的內存+已分配但是未被使用的buffer+已分配但是未被使用的cached2、查看buddy信息buddyinfo：圖2.47從buddy可以看到mem區域和對應的使用情況。64系統因為尋址空間大，不存在高端內存了。3、查看slab信息slabinfo：每一項意義如下：名稱

active對象

總對象

對象大小

有active對象的頁數

總頁數

slab占用頁數圖2.484、查看zone信息zoneinfo：（時區信息）圖2.49查看總體內存信息meminfo：用于從/proc文件系統中提取與內存相關的信息。這些文件包含有系統和內核的內部信息。圖2.506、虛擬內存信息查看vmalloc映射信息vmallocinfo：圖2.527、實時虛擬內存命令vmstat：vmstat是VirtualMeomoryStatistics（虛擬內存統計）的縮寫，可對操作系統的虛擬內存、進程、CPU活動進行監控。vmstat是對系統的整體情況進行統計，卻無法進行某個進程的分析。vmstat命令報告包括：進程、內存、分頁、阻塞IO、中斷、磁盤、CPU。圖2.53Top使用命令top-o％MEM，這會使top按進程所用內存對所有進程進行排序。輸出結果中，可以很清晰的看出已用和可用內存的資源情況。top最好的地方之一就是發現可能已經失控的服務的進程ID號（PID）。有了這些PID，你可以對有問題的任務進行故障排除（或kill）。圖2.54PID：當前運行進程的IDUSER：進程屬主PR：每個進程的優先級別NInice：反應一個進程“優先級”狀態的值，其取值范圍是-20至19，一共40個級別。這個值越小，表示進程”優先級”越高，而值越大“優先級”越低，一般會把nice值叫做靜態優先級。VIRT：進程占用的虛擬內存。RES：進程占用的物理內存。SHR：進程使用的共享內存。S：進程的狀態。S表示休眠，R表示正在運行，Z表示僵死狀態，N表示該進程優先值為負數。%CPU：進程占用CPU的使用率。%MEM：進程使用的物理內存和總內存的百分比。TIME+：該進程啟動后占用的總的CPU時間，即占用CPU使用時間的累加值。COMMAND：進程啟動命令名稱。htop是一個Linux下的交互式的進程瀏覽器，可以用來替換Linux下的top命令。2011年11月22日，htop1.0發布了，該版本提供4列的CPU監控儀表，增量式過濾，UTF-8樹繪制，提升了性能以及修復不少bug。2012年02月17日，htop1.0.1發布了，主要是bug的修復，修復了鼠標選擇行為的問題以及偶發的程序崩潰問題，另外配置現在改用XDG兼容路徑。圖2.55上面左上角顯示CPU、內存、交換區的使用情況，右邊顯示任務、負載、開機時間，下面就是進程實時狀況。date-R顯示系統時間：圖2.56