vol.py

vol.py

Framework forensics usado para analizar volcados de memoria volátil (RAM). Con volatility3, los plugins ahora se basan en el sistema operativo. Los ejemplos a continuación usarán Windows. Más información: https://volatility3.readthedocs.io/en/latest/index.html.

  • Obtener información sobre un archivo de volcado de memoria:

python3 vol.py {{[-f|--filename]}} {{ruta/al/archivo_de_volcado_de_memoria}} windows.info

  • Listar procesos activos:

python3 vol.py {{[-f|--filename]}} {{ruta/al/archivo_de_volcado_de_memoria}} windows.pslist

  • Listar hashes de usuarios en el sistema:

python3 vol.py {{[-f|--filename]}} {{ruta/al/archivo_de_volcado_de_memoria}} windows.hashdump

  • Listar conexiones de red activas:

python3 vol.py {{[-f|--filename]}} {{ruta/al/archivo_de_volcado_de_memoria}} windows.netstat

  • Mostrar ayuda:

python3 vol.py {{[-h|--help]}}

windows

choco-list Muestra una lista de paquetes con Chocolatey.
sc-query Este comando es un alias de `sc.exe query`.
print.win Imprimir un archivo de texto en una impresora.
measure-object Calcula las propiedades numéricas de los objetos, así como los caracteres, palabras y líneas en objetos de cadena, como archivos de texto.
date Mostrar o establecer la fecha del sistema.
tee-object Guarda la salida de un comando en un archivo o variable y también la envía por la tubería (pipeline).
explorer El Explorador de Archivos de Windows.
systeminfo Muestra la configuración del sistema operativo para una máquina local o remota.
reg Administra claves y sus valores en el registro de Windows.
wmic Consola interactiva para obtener información detallada sobre los procesos en ejecución.
sc-create Este comando es un alias de `sc.exe create`.
ver Muestra el número de versión actual de Windows o MS-DOS.
octo Herramientas de línea de comandos para Octopus Deploy.
rm En PowerShell, este comando es un alias de `Remove-Item`.
clear-recyclebin Elimina elementos de la Papelera de reciclaje.
pwlauncher Gestionar las opciones de inicio de Windows To Go.
expand Descomprimir archivos Cabinet de Windows.
set-date Cambia la hora del sistema en el equipo a una hora que especifiques.
rmdir Elimina un directorio y su contenido.
scoop El gestor de paquetes Scoop.
ftype Mostrar o modificar los tipos de archivo utilizados para la asociación de extensiones de archivo.
choco-upgrade Actualiza uno o más paquetes con Chocolatey.
pabcnetcclear Preprocesar y compilar archivos fuente de PascalABC.NET.
get-location Imprime el nombre del directorio actual/de trabajo.
eventcreate Crear entradas personalizadas en el registro de eventos.
get-date Obtiene la fecha y hora actuales.
get-content Obtiene el contenido del elemento en la ubicación especificada.
get-help Muestra información de ayuda y documentación para los comandos de PowerShell (alias, cmdlets y funciones).
subst Asocia una ruta con una letra de unidad virtual.
findstr Buscar texto especificado dentro de uno o más archivos.
get-history Muestra el historial de comandos de PowerShell.
netsh-interface-portproxy Configurar y mostrar el estado de varios componentes de red.
nfsstat Muestra o restablece el número de llamadas realizadas al servidor NFS.
repair-bde Intentar reparar o descifrar un volumen cifrado con BitLocker dañado.
shutdown Una herramienta para apagar, reiniciar o cerrar sesión en una máquina.
find Buscar una cadena especificada en archivos.
tzutil Herramienta para mostrar o configurar la zona horaria del sistema.
pswindowsupdate Un módulo externo de PowerShell para gestionar Windows Update.
rpcinfo Lista programas vía RPC en computadoras remotas.
microsoft-edge La utilidad de línea de comandos de Microsoft Edge está disponible como `msedge` en Windows y `microsoft-edge` para otras plataformas.
for Ejecutar condicionalmente un comando varias veces.
mkdir Crea un directorio.
more Muestra la salida paginada desde `stdin` o un archivo.
test-json Verifica si una cadena es un documento JSON válido.
move Mover o renombrar archivos y directorios.
choco-source Gestiona fuentes para paquetes con Chocolatey.
taskkill Termina un proceso por su ID o nombre.
where Muestra la ubicación de archivos que coinciden con el patrón de búsqueda.
assoc Muestra o cambia las asociaciones entre extensiones de archivo y tipos de archivo.
chrome Este comando es un alias de `chromium`.
select-string Busca texto en cadenas y archivos en PowerShell.
sc Comunicación con el Administrador de Control de Servicios y los servicios.
fc Compara las diferencias entre dos archivos o conjuntos de archivos.
invoke-webrequest Realiza una solicitud HTTP/HTTPS a la Web.
bleachbit_console Limpia archivos basura en el sistema de archivos.
bleachbit Este comando es un alias de `bleachbit_console`.
install-module Instala módulos de PowerShell desde PowerShell Gallery, NuGet y otros repositorios.
finger Devolver información sobre usuarios en un sistema especificado.
choco-push Sube un paquete NuGet compilado (`nupkg`) a un feed de paquetes.
cuninst Este comando es un alias de `choco uninstall`.
get-command Lista y obtiene los comandos disponibles en la sesión actual de PowerShell.
pwd En PowerShell, este comando es un alias de `Get-Location`.
choco-install Instala uno o más paquetes con Chocolatey.
enable-pnpdevice El cmdlet Enable-PnpDevice habilita un dispositivo Plug and Play (PnP). Debe usar una cuenta de Administrador para habilitar un dispositivo.
reg-save Guarda una clave del registro, sus subclaves y valores en un archivo `.hiv` nativo.
resolve-path Resuelve los caracteres comodín en una ruta y muestra el contenido de la ruta.
robocopy Copia robusta de archivos y carpetas.
popd Cambia el directorio actual al directorio almacenado por el comando `pushd`.
start-service Inicia servicios detenidos.
clear-host Limpia la pantalla.
get-filehash Calcula un hash para un archivo.
get-childitem Lista los elementos en un directorio.
reg-export Exportar las subclaves y valores especificados a un archivo `.reg`.
wsl-open Abre un archivo o URL desde el Subsistema de Windows para Linux en la aplicación GUI predeterminada de Windows del usuario.
ri En PowerShell, este comando es un alias de `Remove-Item`.
msiexec Instala, actualiza, repara o desinstala programas de Windows utilizando archivos de paquetes MSI y MSP.
reg-import Importa todas las claves, subclaves y valores disponibles desde un archivo `.reg`.
mount Monta recursos compartidos de red del sistema de archivos de red (NFS).
clear En PowerShell, este comando es un alias de `Clear-Host`.
es Interfaz de línea de comandos para Everything, una herramienta de búsqueda rápida de archivos y carpetas para Windows.
measure-command Mide el tiempo que tarda en ejecutarse bloques de script y cmdlets.
wsl Administra el Subsistema de Windows para Linux.
sl En PowerShell, este comando es un alias de `Set-Location`.
add-appxpackage Una utilidad de PowerShell para agregar un paquete de aplicación firmado (`.appx`, `.msix`, `.appxbundle` y `.msixbundle`) a una cuenta de usuario.
choco-new Genera nuevos archivos de especificación de paquetes con Chocolatey.
fondue Instalar características opcionales de Windows.
invoke-item Abre archivos en sus respectivos programas predeterminados.
set-service Inicia, detiene y suspende un servicio, y cambia sus propiedades.
pwsh-where Este comando es un alias de `Where-Object`.
setx Establece variables de entorno persistentes.
cls Borra la pantalla.
gal En PowerShell, este comando es un alias de `Get-Alias`.
choco-apikey Gestiona claves API para fuentes de Chocolatey.
curl En PowerShell, este comando puede ser un alias de `Invoke-WebRequest` cuando el programa original `curl` (<https://curl.se>) no está correctamente instalado.
showmount Muestra información sobre sistemas de archivos NFS en Windows Server.
sort-object Ordena objetos por valores de propiedades.
diskpart Administrador de discos, volúmenes y particiones.
bcdboot Configura o repara archivos de arranque.
vol Muestra información sobre volúmenes.
chkdsk Verifica el sistema de archivos y los metadatos del volumen en busca de errores.
clip Copia el contenido de entrada al portapapeles de Windows.
set-acl Cambia el descriptor de seguridad de un elemento especificado, como un archivo o una clave de registro.
slmgr.vbs Instala, activa y gestiona licencias de Windows.
clist Este comando es un alias de `choco list`.
iscc Compilador para instaladores de Inno Setup.
reg-add Agregar nuevas claves y sus valores al registro.
cd Muestra el directorio de trabajo actual o se desplaza a un directorio diferente.
tracert Recibe información sobre cada paso en la ruta entre tu PC y el destino.
certutil Una herramienta para gestionar y configurar información de certificados.
ospp.vbs Instala, activa y administra versiones con licencia por volumen de productos Microsoft Office.
xcopy Copia archivos y árboles de directorios.
remove-item Elimina archivos, carpetas, así como claves de registro y subclaves.
set Muestra o establece variables de entorno para la instancia actual de CMD.
set-location Muestra el directorio de trabajo actual o va a un directorio diferente.
query Mostrar información sobre sesiones de usuario y procesos.
attrib Muestra o cambia los atributos de archivos o directorios.
iwr En Powershell este comando es un alias de `invoke-webrequest`.
get-wuhistory Obtiene el historial de actualizaciones instaladas desde Windows Update. Parte del módulo externo `PSWindowsUpdate`.
prompt Cambiar el aviso de estilo DOS predeterminado en una ventana de comandos.
ipconfig Muestra y gestiona la configuración de red de Windows.
path Mostrar o establecer la ruta de búsqueda para archivos ejecutables.
mklink Crea enlaces simbólicos.
choco-search Busca un paquete local o remoto con Chocolatey.
cipher Muestra o altera la encriptación de directorios y archivos en volúmenes NTFS.
rdpsign Una herramienta para firmar archivos del Protocolo de Escritorio Remoto (RDP).
remove-appxpackage Utilidad de PowerShell para eliminar un paquete de aplicación de las cuentas de usuario.
color Establece los colores de primer plano y fondo de la consola.
virtualboxvm Administra máquinas virtuales de VirtualBox.
vcvarsall Configura las variables de entorno necesarias para usar las herramientas de Microsoft Visual Studio.
replace Reemplaza archivos.
cmdkey Crea, muestra y elimina nombres de usuario y contraseñas almacenados.
nvm Instala, desinstala o cambia entre versiones de Node.js.
slmgr Este comando es un alias de `slmgr.vbs`.
msedge Navegador web moderno desarrollado por Microsoft basado en el navegador web Chromium desarrollado por Google.
reg-copy Copiar claves y sus valores en el registro.
sdelete Elimina de forma segura archivos/directorios del disco, o limpia el espacio libre en un volumen/disco físico.
reg-load Carga subclaves guardadas en una subclave diferente del registro.
tree Muestra un árbol gráfico de la estructura de directorios para una ruta.
rd Este comando es un alias de `rmdir` en la consola de comandos, y subsecuentemente de `Remove-Item` en PowerShell.
fsutil Mostrar información sobre volúmenes del sistema de archivos.
py Lanzador de Python para Windows que se ejecuta con la versión de Python especificada.
psexec Ejecutar un proceso de línea de comandos en una máquina remota.
reg-restore Restaura una clave y sus valores desde un archivo `.hiv` nativo.
forfiles Seleccionar archivos para ejecutar un comando especificado.
reg-unload Elimina datos del registro que fueron cargados usando el comando `reg load`.
exit Sale de la instancia CMD actual o del archivo por lotes actual.
cmstp Administra perfiles de servicio de conexión.
sfc Escanea la integridad de los archivos del sistema de Windows.
get-acl Obtener el descriptor de seguridad para un recurso, como un archivo o una clave del registro.
if Realiza procesamiento condicional en scripts por lotes.
gcrane-completion Generar el script de autocompletado para gcrane para el shell especificado.
pushd Colocar un directorio en una pila para que pueda ser accedido más tarde.
wait-process Espera a que los procesos se detengan antes de aceptar más entradas.
where-object Selecciona objetos de una colección basándose en los valores de sus propiedades.
psversiontable Una variable de solo lectura (como `$PSVersionTable`) para obtener la versión actual de PowerShell.
gpupdate Verifica y aplica la configuración de Directivas de Grupo de Windows.
sdelete64 Este comando es la versión de 64 bits de `sdelete`.
powershell Shell de línea de comandos y lenguaje de scripting diseñado especialmente para la administración del sistema.
logoff Termina una sesión de inicio de sesión.
whoami Muestra detalles sobre el usuario actual.
ni En PowerShell, este comando es un alias de `New-Item`.
choco-feature Interactúa con características de Chocolatey.
choco-outdated Comprueba paquetes desactualizados con Chocolatey.
reg-delete Eliminar claves o sus valores del registro.
gl En PowerShell, este comando es un alias de `Get-Location`.
ftp Transferir archivos de forma interactiva entre un servidor FTP local y remoto.
sc-delete Este comando es un alias de `sc.exe delete`.
choco-pin Fija un paquete en la versión escogida con Chocolatey.
winget Administrador de paquetes de Windows.
get-dedupproperties Obtiene información sobre la desduplicación de datos.
scoop-bucket Administrar buckets: repositorios Git que contienen archivos que describen cómo scoop instala aplicaciones.
vol.py Framework forensics usado para analizar volcados de memoria volátil (RAM).
type Muestra el contenido de un archivo.
vswhere Localiza instalaciones de Visual Studio 2017 y posteriores.
psping Una herramienta de ping que incluye ping TCP, medición de latencia y ancho de banda.
azcopy Una herramienta de transferencia de archivos para subir a cuentas de almacenamiento en la nube de Azure.
del Elimina uno o más archivos.
choco-info Muestra información detallada sobre un paquete con Chocolatey.
out-string Salida de objetos de entrada como una cadena.
new-item Crear un nuevo archivo, directorio, enlace simbólico o una entrada de registro.
doskey Administrar macros, comandos de Windows y líneas de comandos.
reg-compare Comparar claves y sus valores en el registro.
driverquery Mostrar información sobre los controladores de dispositivo instalados.
getmac Muestra las direcciones MAC de un sistema.
sc-config Este comando es un alias de `sc.exe config`.
takeown Toma posesión de un archivo o directorio.
sls Este comando es un alias de `Select-String`.
get-wusettings Obtiene la configuración actual del Agente de Windows Update. Parte del módulo externo `PSWindowsUpdate`.
time Muestra o establece la hora del sistema.
move-item Mueve o renombra archivos, directorios, claves del registro y otros elementos de datos de PowerShell.
stop-service Detiene servicios en ejecución.
choco El gestor de paquetes Chocolatey.
tskill Finaliza un proceso que se está ejecutando en una sesión de Remote Desktop Session Host.
chromium Navegador web de código abierto desarrollado y mantenido principalmente por Google.
reg-query Muestra los valores de claves y subclaves en el registro.
w32tm Consulta y controla el servicio de sincronización de tiempo w32time.
tasklist Muestra una lista de los procesos en ejecución en una máquina local o remota.
choco-pack Empaqueta una especificación de NuGet en un archivo `nupkg`.
show-markdown Muestra un archivo o cadena Markdown en la consola de forma amigable usando secuencias de escape VT100 o en un navegador usando HTML.
msg Enviar un mensaje a un usuario o sesión.
get-wuapiversion Obtiene la versión del Agente de Windows Update. Parte del módulo externo `PSWindowsUpdate`.
title Establece el título de la ventana del símbolo del sistema.
pathping Una herramienta de traza de ruta que combina características de `ping` y `tracert`.
choice Solicita al usuario que seleccione una opción y devuelve el índice de la opción seleccionada.
chdir Este comando es un alias de `cd` en la línea de comandos del sistema, y subsecuentemente `Set-Location` en PowerShell.
get-alias Listar y obtener alias de comandos en la sesión actual de PowerShell.
set-volume Establece o cambia la etiqueta del sistema de archivos de un volumen existente.
wget En PowerShell, este comando puede ser un alias de `Invoke-WebRequest` cuando el programa original `wget` (<https://www.gnu.org/software/wget>) no está correctamente instalado.
pipwin Una herramienta para instalar binarios de paquetes de Python no oficiales en Windows.
mv En PowerShell, este comando es un alias de `Move-Item`.
cinst Este comando es un alias de `choco install`.
dir Lista el contenido del directorio.
cmd El intérprete de comandos de Windows.
choco-uninstall Desinstala paquetes con Chocolatey.
test-netconnection Muestra información de diagnóstico de una conexión.
netstat Mostrar conexiones TCP activas, puertos en los que la computadora está escuchando, estadísticas del adaptador de red, la tabla de enrutamiento IP, estadísticas de IPv4 y estadísticas de IPv6.
mi En PowerShell, este comando es un alias de `Move-Item`.
cpush Este comando es un alias de `choco push`.
uwfmgr Unified Write Filter (UWF).
net Utilidad del sistema para ver y modificar configuraciones relacionadas con la red.