電子取證-活取證1

電子取證 使用dumpit工具將計算機內存鏡像保存。並生成raw文件格式文件。 檢測鏡像文件基本信息 volatility -f 2008.raw imageinfo 檢測進程列表及物理內存位置 volatility -f 2008.raw –profile=Win2008R2SP1x64 pslist 產看進程樹，可以輕鬆瞭解各進程之間的關係：父進程與子進程 volatility -f 2008

>>阅读原文<<