需要取证文件可以私信博主
题目如下:
解析部分如下
任务九：内存取证
*任务说明：仅能获取Server9的IP地址
1.从内存文件中找到异常程序的进程，将进程的名称作为Flag值提交；
volatility -f gs02.raw imageinfo
volatility -f gs02.raw --profile=Win2003SP2x86 pslist
应该是这个test.exe文件
2.从内存文件中找到黑客将异常程序迁移后的进程编号，将迁移后的进程编号作为Flag值提交；
# 查看阅览器纪录历史 volatility -f gs02.raw --profile=Win2003SP2x86 iehistory