上文我們對第一臺Target機器進行內存取證，今天我們繼續往下學習，內存鏡像請從上篇獲取，這里不再進行贅述

Gideon

0x01 - 攻擊者訪問了“Gideon”用戶，以便向AllSafeCyberSec域控制器竊取文件,他們使用的密碼是什么？

攻擊者執行了net use z: \10.1.1.2c$ 指令將 10.1.1.2域控制器的C盤映射到本地的Z盤，并且使用了rar壓縮工具將文件存儲在 crownjewlez.rar里，所以密碼就在這里了

0x02 - 攻擊者創建的RAR文件的名稱是什么？

0x03 - 攻擊者向RAR壓縮包添加了多少文件？

./volatility_2.6_lin64_standalone -f target2-6186fe9f.vmss  --profile=Win7SP1x86_23418 cmdline  
./volatility_2.6_lin64_standalone -f target2-6186fe9f.vmss  --profile=Win7SP1x86_23418 cmdscan

將進程導出成dmp格式

./volatility_2.6_lin64_standalone -f target2-6186fe9f.vmss  --profile=Win7SP1x86_23418 memdump -p 3048 -D ./rar

直接搜索關鍵字，按照txt格式搜索就可以

strings -e l 3048.dmp | grep -10 crownjewlez | grep txt

這里亂七八糟的，數來數去也就是3個，這里grep txt的原因是因為我們在上面的*txt就已經知道別人只是把txt文件壓縮了，所以我們只要看txt文件就行
后來發現不用導出

strings -e l  target2-6186fe9f.vmss| grep -10 crownjewlez.rar | grep txt

0x04 - 攻擊者似乎在Gideon的機器上創建了一個計劃任務。與計劃任務關聯的文件的名稱是什么？

./volatility_2.6_lin64_standalone-ftarget2-6186fe9f.vmss--profile=Win7SP1x86_23418filescan|grep'System32\Tasks'

導出

./volatility_2.6_lin64_standalone -f target2-6186fe9f.vmss  --profile=Win7SP1x86_23418 dumpfiles -Q 0x000000003fc399b8 -D ./task

POS

0x05 - 惡意軟件的CNC服務器是什么？

老規矩，先看第三個鏡像的信息

./volatility_2.6_lin64_standalone -f POS-01-c4e8f786.vmss imageinfo

網絡掃描

./volatility_2.6_lin64_standalone -f POS-01-c4e8f786.vmss  --profile=Win7SP1x86_23418 netscan

暫時看到iexplore.exe ，該進程貫穿核心，而后我們繼續往下看，嘗試過濾一下惡意代碼掃描結果

./volatility_2.6_lin64_standalone -f POS-01-c4e8f786.vmss  --profile=Win7SP1x86_23418  malfind | grep iexplore.exe

暫時對應了，所以此題答案就是54.84.237.92

0x06 - 用于感染POS系統的惡意軟件的家族是什么？

筆者嘗試了很多方法都沒有找到正確的木馬家族，然后就看了一下國外大佬的，才知道原來malfind也可以導出文件

./volatility_2.6_lin64_standalone -f POS-01-c4e8f786.vmss  --profile=Win7SP1x86_23418 malfind -p 3208 -D ./tmp

0x07 - Allsafecybersec的具體應用程序是什么？

strings process.0x83f324d8.0x50000.dmp| grep exe

0x08 - 惡意軟件最初啟動的文件名是什么？

./volatility_2.6_lin64_standalone -f POS-01-c4e8f786.vmss  --profile=Win7SP1x86_23418 iehistory

或者將3208進程導出來

./volatility_2.6_lin64_standalone-fPOS-01-c4e8f786.vmss--profile=Win7SP1x86_23418memdump-p3208-D./tmp

strings 3208.dmp| grep exe | grep all