soji256 https://blog.hatena.ne.jp/soji256/ setodaNote https://soji256.hatenablog.jp/ 🦉フォレンジック 🧰Volatility pagefile.sys について pagefile.sys はシーケンシャルでなく 4KB 以下のデータの断片の集合なので、Volatility では解析できず、 Yara や Strings で有用なデータが残されていないかを確かめるのがよいということのよう。 解析例 無関係の文字列も含まれるので精査は必要。特に「環境変数」の式はノイズが多い。 ファイルパス $ strings pagefile.sys | grep -i "^[a-z]:\\\\" | sort | uniq 環境変数 $ strings pagefile.sys | grep -i "^[a-zA-Z09_]*=.*"… 190 <iframe src="https://hatenablog-parts.com/embed?url=https%3A%2F%2Fsoji256.hatenablog.jp%2Fentry%2F2019%2F06%2F25%2F065200" title=" ページファイル（pagefile.sys） の解析 - setodaNote" class="embed-card embed-blogcard" scrolling="no" frameborder="0" style="display: block; width: 100%; height: 190px; max-width: 500px; margin: 10px 0px;"></iframe> https://cdn.user.blog.st-hatena.com/default_entry_og_image/142804665/1534635173988912 Hatena Blog https://hatena.blog 2019-06-25 06:52:00 rich https://soji256.hatenablog.jp/entry/2019/06/25/065200 1.0 100%