ctf-d GrrCon 2015 #12

 

mftparser 플러그인은 메모리의 MFT 정보를 검색해서 보여준다. 

명령어 : vol.py -f [분석할 파일명] --profile=[운영체제명] mftparser > [저장할 파일 명] [.확장자]

>volatility_2.6_win64_standalone.exe -f .\Target1-1dd8701f.vmss --profile=Win7SP1x86 mftparser > mtfparser.log

 

mtfparser.log에서 netscan.exe를 검색한다. 그런데 나오지 않아서 옮겨진 도구 중 비슷한 이름을 가진 nbtscan.exe로 검색했다. 

https://aaasssddd25.tistory.com/56