vol.py

vol.py

휘발성 메모리(RAM) 덤프를 분석하는 포렌식 프레임워크. volatility3에서는 플러그인이 운영체제 기반으로 구성됨. 아럐 예는 Windows 기준. 더 많은 정보: https://volatility3.readthedocs.io/en/latest/index.html.

  • 메모리 덤프 파일 정보 확인:

python3 vol.py {{[-f|--filename]}} {{경로\대상\메모리_덤프_파일}} windows.info

  • 활성화 프로세스 목록 나열:

python3 vol.py {{[-f|--filename]}} {{경로\대상\메모리_덤프_파일}} windows.pslist

  • 시스템 사용자 해시 목록 확인:

python3 vol.py {{[-f|--filename]}} {{경로\대상\메모리_덤프_파일}} windows.hashdump

  • 활성 네트워크 연결 목록 확인:

python3 vol.py {{[-f|--filename]}} {{경로\대상\메모리_덤프_파일}} windows.netstat

  • 도움말 표시:

python3 vol.py {{[-h|--help]}}

windows

choco-list Chocolatey로 패키지 목록 표시.
print.win 텍스트 파일을 프린터로 인쇄합니다.
measure-object 객체의 숫자 속성과 문자열 객체(예: 텍스트 파일)의 문자, 단어 및 줄을 계산합니다.
date 시스템 날짜 설정 또는 표시.
tee-object 명령어 출력을 파일 또는 변수에 저장하고 파이프라인으로 전달합니다.
explorer Windows 파일 탐색기.
systeminfo 로컬 또는 원격 컴퓨터의 운영 체제 구성 정보를 표시합니다.
reg Windows 레지스트리에서 키와 값을 관리.
wmic 실행 중인 프로세스에 대한 세부 정보를 보는 데 사용되는 대화형 쉘입니다.
ver 현재 Windows 또는 MS-DOS 버전 번호를 표시합니다.
octo Octopus Deploy 명령줄 도구.
rm PowerShell에서 이 명령어는 `Remove-Item`의 별칭입니다.
clear-recyclebin 휴지통의 항목을 삭제.
pwlauncher Windows To Go 시작 옵션을 관리합니다.
expand Windows Cabinet 파일 압축 해제.
set-date 컴퓨터의 시스템 시간을 지정한 시간으로 변경합니다.
comp 두 파일 또는 파일 집합의 내용을 비교.
rmdir 디렉토리와 그 내용을 삭제합니다.
h 이 명령은 `Get-History`의 별칭입니다.
scoop Scoop 패키지 관리자.
ftype 파일 확장자 연결에 사용되는 파일 형식을 표시하거나 수정.
choco-upgrade Chocolatey로 하나 이상의 패키지를 업그레이드.
pabcnetcclear PascalABC.NET 소스 파일을 전처리하고 컴파일합니다.
get-location 현재 작업 중인 디렉토리의 이름 출력.
eventcreate 이벤트 로그에 사용자 정의 항목을 생성.
get-date 현재 날짜와 시간을 가져옵니다.
get-content 지정된 위치에 있는 항목의 내용을 가져옵니다.
get-help PowerShell 명령(별칭, cmdlet, 함수)에 대한 도움말 정보와 문서를 표시.
subst 경로를 가상 드라이브 문자에 연결합니다.
findstr 하나 이상의 파일에서 지정된 텍스트를 찾기.
get-history PowerShell 명령 히스토리 표시.
netsh-interface-portproxy 다양한 네트워크 구성 요소의 상태를 구성하고 표시합니다.
nfsstat NFS 서버에 대한 호출 수를 표시하거나 재설정합니다.
repair-bde 손상된 BitLocker 암호화 볼륨을 복구하거나 해독하려고 시도합니다.
shutdown 컴퓨터를 종료, 재시작 또는 로그오프하는 도구입니다.
find 파일에서 지정된 문자열 찾기.
tzutil 시스템 시간대를 표시하거나 구성하는 도구입니다.
pswindowsupdate Windows Update를 관리하는 PowerShell 외부 모듈입니다.
rpcinfo 원격 컴퓨터에서 RPC를 통해 프로그램 목록 표시.
microsoft-edge Microsoft Edge 명령줄 유틸리티는 Windows에서 `msedge`로 사용할 수 있으며 다른 플랫폼에서는 `microsoft-edge`로 사용할 수 있습니다.
for 조건에 따라 명령을 여러 번 실행.
mkdir 이 명령은 디렉터리를 생성합니다.
more `stdin` 또는 파일에서 페이지 단위 출력을 표시합니다.
ren 이 명령은 `Rename-Item`의 별칭입니다.
test-json 문자열이 유효한 JSON 문서인지 여부를 테스트합니다.
move 파일 및 디렉토리를 이동 또는 이름을 변경합니다.
choco-source Chocolatey 패키지 소스 관리.
taskkill 프로세스 아이디 또는 이름으로 프로세스를 종료합니다.
where 검색 패턴과 일치하는 파일의 위치를 표시합니다.
assoc 파일 확장자와 파일 유형 간의 연결을 표시하거나 변경.
chrome 이 명령은 `chromium`의 별칭입니다.
select-string PowerShell에서 문자열과 파일에서 텍스트를 찾습니다.
sc Service Control Manager 및 서비스와 통신합니다.
fc 두 파일 또는 파일 집합 간의 차이점을 비교.
invoke-webrequest HTTP/HTTPS 요청을 수행합니다.
bleachbit_console 파일 시스템의 정크 파일을 정리.
ghy 이 명령은 `Get-History`의 별칭입니다.
set-alias PowerShell에서 별칭을 설정하거나 수정하는 명령어.
bleachbit 이 명령은 `bleachbit_console`의 별칭입니다.
install-module PowerShell Gallery, NuGet 및 기타 리포지토리에서 PowerShell 모듈을 설치합니다.
finger 지정된 시스템의 사용자 정보 반환.
choco-push 컴파일된 NuGet 패키지(`.nupkg`)를 패키지 피드에 푸시합니다.
cuninst 이 명령은 `choco uninstall`의 별칭입니다.
get-command 현재 PowerShell 세션에서 사용 가능한 명령을 나열하고 가져옴.
pwd PowerShell에서 이 명령은 `Get-Location`의 별칭입니다.
choco-install Chocolatey를 사용하여 하나 이상의 패키지를 설치합니다.
enable-pnpdevice Enable-PnpDevice cmdlet은 플러그 앤 플레이(PnP) 장치를 활성화합니다. 장치를 활성화하려면 관리자 계정을 사용해야 합니다.
ventoy2disk Windows 시스템에서 ISO 파일을 사용해 부팅 가능한 USB를 만드는 도구.
reg-save 레지스트리 키, 하위 키 및 값을 네이티브 `.hiv` 파일로 저장합니다.
resolve-path 경로에서 와일드카드 문자를 확인하고 경로 내용을 표시합니다.
ventoy 이 명령은 `Ventoy2Disk`의 별칭입니다.
robocopy 강력한 파일 및 폴더 복사.
popd `pushd` 명령으로 저장된 디렉토리로 현재 디렉토리를 변경합니다.
start-service 중지된 서비스를 시작합니다.
clear-host 화면을 지웁니다.
get-filehash 파일의 해시를 계산.
get-childitem 디렉토리의 항목 나열.
reg-export 지정된 하위 키와 값을 `.reg` 파일로 내보냅니다.
wsl-open 사용자의 기본 Windows GUI 애플리케이션에서 Windows Subsystem for Linux 내에서 파일이나 URL을 엽니다.
ri PowerShell에서 이 명령어는 `Remove-Item`의 별칭입니다.
msiexec MSI 및 MSP 패키지 파일을 사용하여 Windows 프로그램 설치, 업데이트, 수리 또는 제거.
reg-import 모든 사용 가능한 키, 하위 키 및 값을 `.reg` 파일에서 가져옴.
mount 네트워크 파일 시스템(NFS) 네트워크 공유를 마운트합니다.
clear PowerShell에서 이 명령은 `Clear-Host`의 별칭입니다.
measure-command 스크립트 블록 및 cmdlet을 실행하는 데 걸리는 시간을 측정합니다.
wsl Windows Subsystem for Linux를 관리합니다.
sl 이 명령어는 PowerShell에서 `Set-Location`의 별칭입니다.
add-appxpackage 서명된 앱 패키지(`.appx`, `.msix`, `.appxbundle`, `.msixbundle`)를 사용자 계정에 추가하는 PowerShell 유틸리티.
choco-new Chocolatey로 새 패키지 사양 파일 생성.
fondue 선택적 Windows 기능 설치.
invoke-item 파일을 기본 프로그램에서 엽니다.
set-service 서비스를 시작, 중지 및 일시 중단하고 속성을 변경합니다.
pwsh-where 이 명령은 `Where-Object`의 별칭입니다.
setx 영구적인 환경 변수를 설정합니다.
cls 화면을 지웁니다.
gal PowerShell에서 이 명령어는 `Get-Alias` 의 별칭입니다.
choco-apikey Chocolatey 소스의 API 키 관리.
curl PowerShell에서는 원본 `curl` 프로그램(<https://curl.se>)이 제대로 설치되지 않은 경우 이 명령이 `Invoke-WebRequest`의 별칭일 수 있습니다.
showmount NFS 파일 시스템에 대한 정보를 표시합니다.
sort-object 속성 값에 따라 개체를 정렬합니다.
diskpart 디스크, 볼륨 및 파티션 관리 도구.
bcdboot 부트 파일을 구성하거나 복구.
history 이 명령은 `Get-History`의 별칭입니다.
vol 볼륨에 대한 정보를 표시합니다.
chkdsk 파일 시스템 및 볼륨 메타데이터의 오류를 검사.
clip 입력 내용을 Windows 클립보드에 복사.
set-acl 지정된 항목(예: 파일 또는 레지스트리 키)의 보안 설명자를 변경합니다.
gcb 이 명령은 `Get-Clipboard`의 별칭입니다.
slmgr.vbs Windows 라이선스를 설치, 활성화 및 관리합니다.
clist 이 명령은 `choco list`의 별칭입니다.
iscc Inno Setup 설치 프로그램용 컴파일러입니다.
reg-add 레지스트리에 새 키와 값을 추가.
cd 현재 작업 중인 디렉토리를 표시하거나 다른 디렉토리로 이동.
tracert 컴퓨터와 대상 사이의 경로에서 각 단계에 대한 정보를 받습니다.
certutil 인증서 정보를 관리하고 구성하는 도구.
ospp.vbs Microsoft Office 제품의 볼륨 라이선스 버전을 설치, 활성화 및 관리합니다.
xcopy 파일과 폴더 트리를 복사합니다.
remove-item 파일, 폴더, 레지스트리 키 및 하위 키를 삭제합니다.
set 현재 CMD 인스턴스에 대한 환경 변수를 표시하거나 설정합니다.
set-location 현재 작업 디렉토리를 표시하거나 다른 디렉토리로 이동합니다.
query 프로세스, 세션 및 원격 데스크톱 세션 호스트 서버에 대한 정보를 표시합니다.
attrib 파일 또는 디렉터리의 속성을 표시하거나 변경.
iwr 이 명령은 `invoke-webrequest`의 별칭입니다.
get-wuhistory Windows Update에서 설치된 업데이트의 기록을 가져옵니다. 외부 `PSWindowsUpdate` 모듈의 일부입니다.
prompt 명령 창의 기본 DOS 스타일 프롬프트를 변경합니다.
ipconfig Windows의 네트워크 구성을 표시하고 관리합니다.
path 실행 파일에 대한 검색 경로를 표시하거나 설정합니다.
mklink 심볼릭 링크를 생성합니다.
choco-search Chocolatey로 로컬 또는 원격 패키지를 검색.
cipher NTFS 볼륨에서 디렉터리와 파일의 암호화를 표시하거나 변경.
rdpsign 원격 데스크톱 프로토콜(RDP) 파일을 서명하는 도구입니다.
remove-appxpackage 사용자 계정에서 앱 패키지를 제거하는 PowerShell 유틸리티입니다.
color 콘솔의 전경 및 배경 색상을 설정.
virtualboxvm VirtualBox 가상 머신을 관리합니다.
vcvarsall Microsoft Visual Studio 도구를 사용하기 위해 필요한 환경 변수를 설정합니다.
replace 파일을 대체합니다.
cmdkey 저장된 사용자 이름 및 비밀번호를 생성, 표시, 삭제.
nvm Node.js 버전 설치, 제거 또는 전환.
clhy 이 명령은 `Clear-History`의 별칭입니다.
slmgr 이 명령은 `slmgr.vbs`의 별칭입니다.
rni 이 명령은 `Rename-Item`의 별칭입니다.
msedge 마이크로소프트에서 개발한 최신 웹 브라우저로, 구글에서 개발한 크로미움 웹 브라우저를 기반으로 합니다.
reg-copy 레지스트리에서 키와 그 값을 복사.
sdelete 디스크에서 파일/디렉토리를 안전하게 삭제하거나 볼륨/물리적 디스크의 사용 가능한 공간을 정리합니다.
reg-load 저장된 하위 키를 레지스트리의 다른 하위 키로 불러오기.
tree 경로의 디렉토리 구조에 대한 그래픽 트리를 표시합니다.
rd 이 명령은 Command Prompt에서는 `rmdir`의 별칭이며, PowerShell에서는 `Remove-Item`의 별칭입니다.
fsutil 파일 시스템 볼륨에 대한 정보를 표시.
psexec 원격 컴퓨터에서 명령줄 프로세스 실행.
reg-restore 네이티브 `.hiv` 파일에서 키와 그 값을 복원.
sal 이 명령은 `Set-Alias`의 별칭입니다.
forfiles 지정한 명령어를 실행할 파일을 선택.
reg-unload `reg load` 명령을 사용하여 로드된 레지스트리에서 데이터를 제거.
exit 현재 CMD 인스턴스 또는 현재 배치 파일을 종료.
cmstp 연결 서비스 프로필을 관리합니다.
sfc Windows 시스템 파일의 무결성을 검사합니다.
get-acl 파일이나 레지스트리 키와 같은 리소스의 보안 설명자를 가져옵니다.
if 배치 스크립트에서 조건부 처리를 수행합니다.
gcrane-completion gcrane에 대한 자동 완성 스크립트를 생성합니다.
pushd 디렉토리를 스택에 배치하여 나중에 액세스할 수 있습니다.
wait-process 더 많은 입력을 수락하기 전에 프로세스가 중지될 때까지 기다립니다.
where-object 속성 값에 따라 컬렉션에서 개체를 선택합니다.
psversiontable 현재 PowerShell 버전을 가져오는 읽기 전용 변수(`$PSVersionTable`)입니다.
gpupdate Windows 그룹 정책 설정을 확인하고 적용합니다.
sdelete64 이 명령어는 `sdelete`의 64비트 버전입니다.
powershell 시스템 관리를 위해 특별히 설계된 명령줄 쉘 및 스크립팅 언어입니다.
logoff 로그인 세션을 종료합니다.
whoami 현재 사용자에 대한 세부 정보를 표시합니다.
ni PowerShell에서 이 명령은 `New-Item`의 별칭입니다.
choco-feature Chocolatey를 통해 기능과 상호작용.
choco-outdated Chocolatey를 사용하여 업데이트가 필요한 패키지 확인.
reg-delete 레지스트리에서 키 또는 해당 값을 삭제.
gl 이 명령어는 PowerShell에서 `Get-Location` 의 별칭입니다.
ftp 로컬 및 원격 FTP 서버 간에 파일을 상호작용하며 전송.
choco-pin Chocolatey로 특정 버전의 패키지를 고정.
winget 윈도우 패키지 매니저.
get-dedupproperties 데이터 중복 제거 정보 가져오기.
scoop-bucket 버킷 관리: Git 저장소는 scoop이 애플리케이션을 설치하는 방법을 설명하는 파일을 포함합니다.
vol.py 휘발성 메모리(RAM) 덤프를 분석하는 포렌식 프레임워크.
type 파일의 내용을 표시합니다.
runas 다른 사용자로 프로그램을 실행.
vswhere Visual Studio 2017 및 더 최신 설치를 찾습니다.
psping TCP ping, 대기 시간 및 대역폭 측정을 포함하는 ping 도구입니다.
del 하나 이상의 파일 삭제.
choco-info Chocolatey를 사용하여 패키지에 대한 자세한 정보 표시.
out-string 입력 객체를 문자열로 출력합니다.
new-item 새 파일, 디렉토리, 심볼릭 링크 또는 레지스트리 항목을 만듭니다.
doskey 매크로, Windows 명령 및 명령줄을 관리합니다.
reg-compare 레지스트리에서 키와 해당 값을 비교.
driverquery 설치된 장치 드라이버에 대한 정보를 표시.
getmac 시스템의 MAC 주소를 표시.
takeown 파일 또는 디렉토리의 소유권을 가져옵니다.
sls 이 명령은 `Select-String`의 별칭입니다.
get-wusettings 현재 Windows Update 에이전트 구성을 가져옵니다. 외부 `PSWindowsUpdate` 모듈의 일부입니다.
time 시스템 시간을 표시하거나 설정합니다.
move-item 파일, 디렉토리, 레지스트리 키 및 기타 PowerShell 데이터 항목을 이동 또는 이름을 변경합니다.
stop-service 실행 중인 서비스를 중지합니다.
choco Chocolatey 패키지 관리자.
tskill 원격 데스크톱 세션 호스트의 세션에서 실행 중인 프로세스를 종료합니다.
chromium 주로 Google에서 개발 및 유지 관리하는 오픈 소스 웹 브라우저.
scb 이 명령은 `Set-Clipboard`의 별칭입니다.
reg-query 레지스트리의 키와 하위 키의 값을 표시.
w32tm w32time 시간 동기화 서비스를 쿼리하고 제어합니다.
tasklist 로컬 또는 원격 머신에서 현재 실행 중인 프로세스 목록을 표시합니다.
choco-pack NuGet 사양을 `.nupkg` 파일로 패키징.
show-markdown VT100 이스케이프 시퀀스를 사용하거나 HTML을 사용하는 브라우저에서 친숙한 방법으로 콘솔의 Markdown 파일 또는 문자열을 표시합니다.
msg 사용자 또는 세션에 메시지 보내기.
get-wuapiversion Windows 업데이트 에이전트 버전을 확인합니다. 외부 `PSWindowsUpdate` 모듈의 일부입니다.
title 명령 프롬프트 창의 제목을 설정합니다.
pathping `ping` 및 `tracert`의 기능을 결합한 라우팅 도구입니다.
choice 사용자에게 선택지를 제시하고 선택한 선택지의 색인을 반환합니다.
chdir 이 명령은 명령 프롬프트의 `cd` 및 이후 PowerShell의 `Set-Location`의 별칭입니다.
get-alias 현재 PowerShell 세션에서 명령 별칭을 나열하고 가져옵니다.
set-volume 기존 볼륨의 파일 시스템 레이블을 설정하거나 변경합니다.
wget 원래 `wget` 프로그램 (<https://www.gnu.org/software/wget>)이 제대로 설치되지 않은 경우, PowerShell에서는 이 명령이 `Invoke-WebRequest`의 별칭일 수 있습니다.
pipwin Windows에서 비공식 Python 패키지 이진 파일을 설치하는 도구입니다.
mv PowerShell에서 이 명령어는 `Move-Item`의 별칭입니다.
cinst 이 명령은 `choco install`의 별칭입니다.
dir 디렉토리 내용을 나열.
cmd Windows 명령 인터프리터.
choco-uninstall Chocolatey를 사용하여 패키지 제거.
test-netconnection 연결에 대한 진단 정보를 표시합니다.
set-clipboard 클립보드에 내용을 설정하는 PowerShell 명령어.
netstat 활성 TCP 연결, 컴퓨터가 수신하는 포트, 네트워크 어댑터 통계, IP 라우팅 테이블, IPv4 통계 및 IPv6 통계를 표시합니다.
mi PowerShell에서 이 명령어는 `Move-Item`의 별칭입니다.
cpush 이 명령은 `choco push`의 별칭입니다.
uwfmgr 통합 쓰기 필터 (UWF).
net 네트워크 관련 설정을 보고 수정하는 시스템 유틸리티입니다.