Digital Forensics:The Memory Process File System (MemProcFS)

Digital Forensics:The Memory Process File System (MemProcFS)

The Memory Process File System (MemProcFS) is an easy and convenient way of viewing physical memory as files in a virtual file system.

เป็นเครื่องมือช่วยในการศึกษาหน่วยความจำ (Memory) สามารถดึงข้อมูลจากหน่วยความจำ   ออกมาวิเคราะห์ แบบง่าย ๆ  โดยไม่ต้องใช้อาร์กิวเมนต์ commandline ที่ซับซ้อน!

Install

Windows

Download or clone the Memory Process File System github repository. Pre-built binaries are found in the files folder.

Please download and install the latest version of Dokany at: https://github.com/dokan-dev/dokany/releases/latest It is recommended to download and install the DokanSetup_redist version.

Mounting the file system requires the Dokany file system library to be installed.

#H:\MemProcFS\MemProcFS_files_and_binaries_v4.9.3-win_x64-2

0220718>MemProcFS.exe -device "H:\18 Computer Forensics\CTF\incident-response-challenge.com\Easy - Is that you\Easy - Volatility Find Evil - Is that you\Challenge\memdump.mem" -forensic 1

Python support requires Python 3.6 or later. The user may specify the path to the Python installation with the command line parameter -pythonhome, alternatively download Python 3.7 – Windows x86-64 embeddable zip file and unzip its contents into the files/python folder when using Python modules in the file system.

Mount

Memdump.mem

#M:\sys\proc\Proc.txt

#M:\Registry

ComputerName

#M:\Registry\HKLM\SYSTEM\Contolset001\Control\ComputerName\ComputerName

ProductName

#M:\Registry\HKLM\SOFTWARE\Micorsoft\Windows NT\CurrentVersion\ProdcutName.txt

Windows install Date

#M:\Registry\HKLM\SOFTWARE\Micorsoft\Windows NT\CurrentVersion\InstallDate.txt

ShutdownTime

#M:\Registry\HKLM\SYSTEM\Contolset001\Control\Windows\shutdownTime.txt

#M:\name\spoolsv.exe-1228\memmap\vad.txt

#M:\name\spoolsv.exe-1228\modules\advapi32.dll\fullname.txt

#M:\forensic\ntfs\ntfs_files.txt

timeline_process

#M:\forensic\timeline\timeline_process.txt

YouTube Credit : 13Cubed

Credit:  ufrisk 

อ่านเพิ่ม Memory Forensics

             HOW TO CHECK WINDOWS INSTALL DATE

             

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #computerforensic #ComputerForensics #dfir #forensics
#digitalforensics #investigation #cybercrime #fraud