Pieces0310

取证须让证物说话,莫妄以自我心证来给案情下定论.切忌画靶射箭,为找而找. 取证的根基仰赖经验与判断,在IT各领域的经验愈丰富,愈能看出端倪. 取证须善用工具,但不过度依赖工具.工具只能帮你缩小可能范围,但无法告诉你答案,仍需靠人进行分析判断.

首页 新随笔 联系 订阅 管理

来自俄罗斯的取证大厂Belkasoft,旗下的主力产品Belkasoft Evidence Center有不错的评价,除了BEC之外,咱们Yuri老兄也是佛心来着的,提供了一个免费内存镜像工具RamCapture给同好们享用.

 

它有32bit及64bit版本,无须安装,直接运行即可.但须以系统管理者权限运行.默认会将内存镜像储存在RamCapture相同路径之下.且会很贴心地以当天日期设定文件名,后缀名默认为.mem.

 

 

 

有意思的是,在完成镜像后,还会打个小广告,如下图红色底线所示.

 

好工具不嫌多,且可起到互补替代效用。分享一个经验给各位兄弟,前不久应军方要求,前往某单位进行恶意程序分析,但因该主机的操作系统老旧,FTK Imager无法顺利运行,好在我还有RamCapture,顺利取得内存镜像,使得分析工作顺遂。

posted on   Pieces0310  阅读(1908)  评论(0编辑  收藏  举报
努力加载评论中...
点击右上角即可分享
微信分享提示