[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"$fo3oDP3GnJ2h7eB44nSMR7c4l0shD8yri74O8ah9KMBw":3},{"slug":4,"title":5,"summary":6,"category":7,"author":10,"image_url":15,"image_thumb_url":15,"published_at":16,"updated_at":17,"body_html":18,"keywords":19,"reading_time_minutes":20,"related_articles":21,"related_course":54,"related_specialty":13},"creacion-y-analisis-basico-de-una-imagen-forense-en-windows-7-con-ftk-imager-y-volatility","Creación y análisis básico de una imagen forense en windows 7 con FTK imager y Volatility.","Necesitaremos una laptop con Windows 7 y dos herramientas; FTK imager y Volatility, lo primero que aprenderemos es crear un volcado de memoria con ftk como se mostrará en el siguiente articulo.",{"slug":8,"name":9},"forense","Forense ",{"username":11,"name":12,"avatar_url":13,"headline":13,"aboutme":14},"D4RK0P","Alejandro Rivera",null,"Consultor preventivo, gestor de incidentes y capacitador en Dait seguridad informática, colaborador fundador del Instituto de Ciberseguridad (ICS), colaborador en la Organización de Investigación y Prevención de Crimenes Ciberneticos (OIPCC), Colaborador en Team GHS Software.","https:\u002F\u002Fapi.backtrackacademy.com\u002Frails\u002Factive_storage\u002Fblobs\u002Fredirect\u002FeyJfcmFpbHMiOnsibWVzc2FnZSI6IkJBaHBBdjROIiwiZXhwIjpudWxsLCJwdXIiOiJibG9iX2lkIn19--e8c773a14c1ed29a31623d9130bec00a84f0d098\u002Fshutterstock_586632335.jpg","2016-04-10T21:50:01-03:00","2026-10-26T17:57:21-03:00","\u003Cp> \u003C\u002Fp>\r\n\u003Cp>\u003Cspan>\u003Cimg class=\"img-responsive pull-right\" src=\"https:\u002F\u002Flh5.googleusercontent.com\u002FGHV8BMPcCD00Yv1EKffLaqgWqvXJE6eqrJs5vCMl6XzYeYmtjoY1uuGfKE_vBtBtIRPqjgEKePYlYRVLgO8EPsS-dAeeLyAH7akAU7H6gUxDeLQK8KmZBTRDyIT7O8-vjWxGOtIJz05RLChTew\" width=\"427\" height=\"325\">\u003C\u002Fspan>\u003C\u002Fp>\r\n\u003Cp>Bueno, este post esta creado para aquella gente al igual que yo apasionada por la informática y sobre todo el área informática forense digital.\u003C\u002Fp>\r\n\u003Cp>Partiremos primeramente con la definición de que es una memoria RAM.\u003C\u002Fp>\r\n\u003Ch4>¿Qué es una memoria RAM?\u003C\u002Fh4>\r\n\u003Cp>RAM son las siglas en inglés de random access memory, es un tipo de memoria de ordenador a la que se puede acceder aleatoriamente; es decir, se puede acceder a cualquier byte de memoria sin acceder a los bytes precedentes. La memoria ram es un tipo más común en ordenadores y otros dispositivos como impresoras y últimamente smartphones. Existen dos tipos de memoria la dinámica y la estática, la dinámica necesita actualizarse miles de veces por segundo mientras que la estática no necesita actualizarse, por ende es mas veloz y más costosa.   \u003C\u002Fp>\r\n\u003Cp> \u003C\u002Fp>\r\n\u003Ch4>¿Qué es FTK Imager?\u003C\u002Fh4>\r\n\u003Cp>FTK Imager es una herramienta para la creación de imágenes de disco, guarda una imagen de un disco duro en un archivo o en segmentos que pueden ser posteriormente reconstruidos y analizados. Se calcula los valores de hash MD5 y confirma la integridad de los datos antes de cerrar los archivos. El resultado es un archivo ( s ) de imágenes que se pueden guardar en varios formatos, incluyendo , DD raw.\u003C\u002Fp>\r\n\u003Cp>Para esto necesitaré una laptop con windows 7 y dos herramientas; FTK imager y Volatility, lo primero es crear un volcado de memoria con ftk como se mostrará en la siguiente imagen.\u003C\u002Fp>\r\n\u003Cp> \u003C\u002Fp>\r\n\u003Ch4>¿Qué es Volatility?\u003C\u002Fh4>\r\n\u003Cp>Volatility es un Framework con un conjunto de herramientas “plugins” desarrolladas en Python con licencia GNU. Este Framework está pensado para extraer de una imagen de un disco los datos volátiles que estaban en memoria RAM.\u003C\u002Fp>\r\n\u003Cp> \u003C\u002Fp>\r\n\u003Cp>\u003Cimg src=\"https:\u002F\u002Flh5.googleusercontent.com\u002FiiLRp5M9Bj-6Tfh7b4Vxcy0twgruuk_-fkP2fG64QCz_LwznTspNOnefCszZDGYHPhUbDwhShpDQU_7GmHEP6nE0kJUUCzWp6HgKSbaVwx2CacwZeE3aDmqvCo2bb0NHMtNGVwV23MDSipTlwA\" width=\"427\" height=\"192\">\u003C\u002Fp>\r\n\u003Cp> \u003C\u002Fp>\r\n\u003Cp>Bueno, aquí nos pedirá un path para el destino del archivo y si queremos también podemos cambiar el nombre del archivo, ojo que si cambiamos el nombre procurar no borrar .mem, A continuación una imagen del proceso.\u003C\u002Fp>\r\n\u003Cp> \u003C\u002Fp>\r\n\u003Cp>\u003Cimg src=\"https:\u002F\u002Flh5.googleusercontent.com\u002FvIodi5IXeE_J5KM0jCEJ6omeUhTTyyqzRz4HnDwXkteHBIvM6v5FqnDc3JToeVJah0JZYKSyE2JIzO6BNi5jIZgveM9s40wKe3XeAPclUxWaQ-O0v1xNKqNg-fJB78dHpiclADScyeHpjb1lsQ\" width=\"427\" height=\"192\">\u003C\u002Fp>\r\n\u003Cp> \u003C\u002Fp>\r\n\u003Cp>Esto puede tardar un poco, dependiendo el tamaño de la memoria ram en mi caso es de 1GB.\u003C\u002Fp>\r\n\u003Cp> \u003C\u002Fp>\r\n\u003Cp>\u003Cimg src=\"https:\u002F\u002Flh3.googleusercontent.com\u002FxpjHVBOGXRZ2BjAL97Tq7JcKI049GeUJe43Mj6xOv8fXkX_YsiERHvR0VHA0_w4Db-NK5Z-zjGPZNUOxC85RF-45WGdmvKr3J_O4BB1FddNIi9t0nXWr3dJlhJD19YEmZziU0aGqPXkGDp6yTA\" width=\"427\" height=\"191\">\u003C\u002Fp>\r\n\u003Cp> \u003C\u002Fp>\r\n\u003Cp>Una vez ya creada la imagen lo pasamos a un pendrive y lo migramos a nuestro Gnu\u002FLinux, un dato es que con ftk también podemos hacer un análisis como se muestra en la imagen de arriba, pero este no es el caso.\u003C\u002Fp>\r\n\u003Cp>Ahora procederemos a analizar nuestra imagen, como dije para esto utilizaremos volatility y así obtendremos información de aquella imagen forense como se mostrará en la siguiente imagen.\u003C\u002Fp>\r\n\u003Cp> \u003C\u002Fp>\r\n\u003Cp>\u003Cimg src=\"https:\u002F\u002Flh4.googleusercontent.com\u002FG8ovFgafSU35ewSCrvN_7XvGHmW9gOc1f4rFJYsSr7LnIgpUISBLY7xIjszpwXEtbLhOboCKxtbDwD5PYlOzOflbJIVTCxiydl6a31xE7DDeLFZjqYOYNUhW0quNuDWJP_w188X4ynevZXYyMA\" width=\"427\" height=\"229\">\u003C\u002Fp>\r\n\u003Cp> \u003C\u002Fp>\r\n\u003Cp>Como vemos obtuvimos información básica sobre nuestra imagen forense, por lo tanto ya sabemos que es un Windows 7 corriendo en una arquitectura de 64 bits con 2 procesadores, aparte nos sugiere unos plugins para hacer nuestros primeros análisis, volatility cuenta con 3 plugins para la obtención de información, kdbgscan, kpcrscan, imageinfo. Cabe recalcar que KDBG es una estructura del núcleo en windows para métodos de depuración.  Ahora procederemos a listar los procesos que se estaban ejecutando en el momento del uso de windows 7.\u003C\u002Fp>\r\n\u003Cp> \u003C\u002Fp>\r\n\u003Cp>\u003Cimg src=\"https:\u002F\u002Flh4.googleusercontent.com\u002F7EcsWjVbO-slS2FPPsE0qZ6OnTUP0g98WM2eZx3V1fyhpu0eqFqg6qimlFNXZSS2lhIW7uLZhuka7uEwQRQ71nkTt5blD75upL_VugegAiF-xou-meuW1WUMCf0bt56WrmuqyYYstmLg6Qva4A\" width=\"427\" height=\"229\">\u003C\u002Fp>\r\n\u003Cp>\u003Cbr>\u003Cbr>\u003C\u002Fp>\r\n\u003Cp>\u003Cimg src=\"https:\u002F\u002Flh4.googleusercontent.com\u002FrporSd5-MYxphWJeloiBPd8oINsuc3-84JDKj5i1LEZ1D6PJtMyr-OBunlCtWoH4w7TozPS9wGqcH5AF5XcypjcMhWLyM9-i5fRF0rgCVzh7NVboatGAt3qm3uCnr6FczwdrKGTVN7gbkUpO8g\" width=\"427\" height=\"229\">\u003C\u002Fp>\r\n\u003Cp> \u003C\u002Fp>\r\n\u003Cp>Como vemos en estas imágenes se listan los procesos ejecutados donde PID es la identidad del proceso, PPID es el la identidad del proceso padre y OFFSET es la dirección de desplazamiento en hexadecimal. También podemos usar el plugins pstree para ver el mismo resultado pero en vista de árbol jerárquico.\u003C\u002Fp>\r\n\u003Cp> \u003C\u002Fp>\r\n\u003Cp>Ahora veremos los servicios de windows, en donde mostrará una larga lista de servicios que corría windows 7 en ese momento, así lo representa la siguiente imagen.\u003C\u002Fp>\r\n\u003Cp> \u003C\u002Fp>\r\n\u003Cp>\u003Cimg src=\"https:\u002F\u002Flh3.googleusercontent.com\u002FykD7Z82le5uP_Ly-HzAT10aNsfBSy8OXYmkQFJ0zWB13Tz0iP23SmNuCuG9x0ZFaZ1DaQHN1eD0Lj8dkBiPk9K9SpmwOylCefsc5WCau2QvOvWxQAc2Z-29AsAf9_MvjAYRw6Lc9cnOWtfab2Q\" width=\"427\" height=\"229\">\u003C\u002Fp>\r\n\u003Cp> \u003C\u002Fp>\r\n\u003Cp>Seguimos ahora visualizando los registros hive\u003C\u002Fp>\r\n\u003Cp> \u003C\u002Fp>\r\n\u003Cp>\u003Cimg src=\"https:\u002F\u002Flh6.googleusercontent.com\u002FbBXzb1w36QJUItnMr51BQJ4fz0TaPgQ1AGufcefWxYxDb-TCh3hieKmwjcERNEZBvsGu5k1H_4Iu8b43ZiweezE-95jc5_c4TLHYs6CmiFd5Jh_omVYTFIIdFNQNGIxliNqfBcWkqTCHh8w3Dw\" width=\"427\" height=\"229\">\u003C\u002Fp>\r\n\u003Cp>\u003Cbr>\u003Cbr>\u003C\u002Fp>\r\n\u003Cp>Como vemos en la imagen de arriba examinamos la salida y nos encontramos con dos ficheros SAM y SYSTEM que contiene bastante información como para volcarlos y obtener los hash de las contraseñas. Tomar nota de los valores virtuales, ahora procederemos a dumpear esos ficheros, como se muestra en la siguiente imagen.\u003C\u002Fp>\r\n\u003Cp> \u003C\u002Fp>\r\n\u003Cp>\u003Cimg src=\"https:\u002F\u002Flh5.googleusercontent.com\u002F6_p13bfzAXyHj9sR7k2ietyKPo0ohnikQnteFNr7owX393rWn3df8MeUvkFMvdhgK3ospuXFU6K0xtgZ0iILPcayrOO2gOFJACcgGAWwY0qpEMkot_yvjWW6sTb1emyvw0RjU7vH1UT0ESlYgg\" width=\"427\" height=\"231\">\u003C\u002Fp>\r\n\u003Cp> \u003C\u002Fp>\r\n\u003Cp>En la imagen de arriba vemos que hemos volcado con éxito los archivos SAM y SYSTEM e marcado un hash en verde, es el que me interesa en estos momentos, que es de la persona que supongo utilizaba esa laptop.\u003C\u002Fp>\r\n\u003Cp>Windows separa hash por dos puntos en donde el primero es LM (LANMAN) es un hash inseguro y obsoleto donde se ocupaba en Windows VISTA el segundo NTLM es más actual pero no como para decir que es el rey de los algoritmos, al menos es más fácil de romper en comparación a los hash de otras distros. Bueno aquí el hash en texto plano ya descifrado.\u003C\u002Fp>\r\n\u003Cp> \u003C\u002Fp>\r\n\u003Cp>\u003Cimg src=\"https:\u002F\u002Flh5.googleusercontent.com\u002Fk0IYO7qG6fqIdkSNrQwWIduyRexwy0h3LBQzZCZxU2Qm-DvtPfczga4NkV0PN3QkVb6RgGcT4GX2PNXQwjtA2kfi19kF6ayy0i8EdpBr8-cb-3nhNUHgGWCbzJscVsMaGR4en-utsNegz4JubA\" width=\"427\" height=\"19\">\u003C\u002Fp>\r\n\u003Cp> \u003C\u002Fp>\r\n\u003Cp>En la imagen de arriba se puede apreciar que el password del usuario víctima es víctima \"USER:victima, PASSWD:victima\" y para ir culminando el post veremos todos los ficheros DLL de todos los procesos o de un proceso en particular.\u003C\u002Fp>\r\n\u003Cp> \u003C\u002Fp>\r\n\u003Cp>\u003Cimg src=\"https:\u002F\u002Flh6.googleusercontent.com\u002FGoRx5_AWHMCEOjilGtuvGQDpuIAX2C3cgtJKeuggnU5ZaRJNY2OVmvMdiO0nXQe-2IF_Pa6fON86DvzdAGORwmTKV59WWW5Yc6db6yrXlM8F6fOH7c2M_FAekTiT2AOI3RW_NZqwkkidp1y2Rw\" width=\"427\" height=\"231\">\u003C\u002Fp>\r\n\u003Cp> \u003C\u002Fp>\r\n\u003Cp>En la imagen de arriba podemos ver que se listaron todos los ficheros dll de todos los procesos ejecutados en ese momento por el usuario y el sistema windows 7, ya teniendo esta información podemos extraer todos los ficheros y guardarlos en una carpeta de nuestro Gnu\u002FLinux para un posterior análisis  más detallado y preciso.\u003C\u002Fp>\r\n\u003Cp> \u003C\u002Fp>\r\n\u003Cp>\u003Cimg src=\"https:\u002F\u002Flh4.googleusercontent.com\u002F8Y6gcEDW7JD06lUYa-47jw6WfPLy1vFvrmUJ1mRg6JBhfcQFqTvctvEHw6sExms4bl5vDk7dnxiz1MnMHK0JYSY20dKuMIbf2pFlQZtjhvT2LJrnn2Oo1SRAVv0U9GTs2X_vJzogBS_seywHHg\" width=\"427\" height=\"229\">\u003C\u002Fp>\r\n\u003Cp> \u003C\u002Fp>\r\n\u003Cp>\u003Cimg src=\"https:\u002F\u002Flh5.googleusercontent.com\u002FOOzDvsFoPT3s8X20GEB_RwD7czaepzDwzSpBAFxTuQ4sy9Ut4nxer5J3bHbyX5fFEqZL6t9BwaGE97eLHbLFoEWIprsYXFWx6ttsEt2XnCbMHaTUQO5IQnF-KZzqYzwXDRNMkc9NJox4SIxA9g\" width=\"427\" height=\"231\">\u003C\u002Fp>\r\n\u003Cp> \u003C\u002Fp>\r\n\u003Cp>Logramos apreciar que hemos descargado todos los ficheros en el directorio DLL_ANALISIS, vemos que hemos extraído 1.658 archivos DLL para un posterior análisis.\u003C\u002Fp>\r\n\u003Cp>Eso es todo, espero que esta información sirva y les haya gustado, así como todos los lectores soy un apasionado de este tema y lo mejor es que me gusta compartir conocimiento y recibir conocimiento. Saludos cordiales a toda la comunidad BacktrackAcademy, sigan aprendiendo dentro de esta hermosa comunidad y plataforma que llegarán muy lejos. Un saludo al profesor Rodolfo Ceceña verdaderamente uno de los mejores docentes y jedi digital :). Adios!!!\u003C\u002Fp>","windows 7, volatility, forense",5,[22,34,46],{"slug":23,"title":24,"summary":25,"category":26,"author":27,"image_url":31,"image_thumb_url":31,"published_at":32,"updated_at":33},"escalamiento-de-privilegios-en-linux","Shell reverse php en Linux con Burpsuite.","Un atacante puede hacer uso de formularios no sanitizados para hacer cargas de Shell, y así poder ejecutar comandos remotos desde su equipo a un servidor.",{"slug":8,"name":9},{"username":28,"name":29,"avatar_url":30},"user-1543237612","Cristian Jose Acuña  Ramirez","https:\u002F\u002Fapi.backtrackacademy.com\u002Frails\u002Factive_storage\u002Fblobs\u002Fredirect\u002FeyJfcmFpbHMiOnsibWVzc2FnZSI6IkJBaHBBaUFQIiwiZXhwIjpudWxsLCJwdXIiOiJibG9iX2lkIn19--c84d5840f618ed711f6d776d0a8e54daa3f13bbe\u002F6e76f75b-b5b8-49f8-8b6a-73d757ad7c65.jpg","https:\u002F\u002Fapi.backtrackacademy.com\u002Frails\u002Factive_storage\u002Fblobs\u002Fredirect\u002FeyJfcmFpbHMiOnsibWVzc2FnZSI6IkJBaHBBcDhSIiwiZXhwIjpudWxsLCJwdXIiOiJibG9iX2lkIn19--0b47bc32b6609a2fc9627f5c05f4dfc2673a70ea\u002Ffondo.png","2019-12-26T18:41:07-03:00","2026-10-26T16:41:36-03:00",{"slug":35,"title":36,"summary":37,"category":38,"author":39,"image_url":43,"image_thumb_url":43,"published_at":44,"updated_at":45},"hoja-de-trucos-de-metasploit","Hoja de trucos de Metasploit","El Proyecto Metasploit es un proyecto de seguridad informática que proporciona información sobre vulnerabilidades y ayuda en el desarrollo de pruebas de penetración y firmas IDS.Metasploit es una herramienta popular utilizada por los expertos de Pentest.",{"slug":8,"name":9},{"username":40,"name":41,"avatar_url":42},"Omar_veliz","Omar Jacobo Muñoz Veliz","https:\u002F\u002Fapi.backtrackacademy.com\u002Frails\u002Factive_storage\u002Fblobs\u002Fredirect\u002FeyJfcmFpbHMiOnsibWVzc2FnZSI6IkJBaHBBdmdGIiwiZXhwIjpudWxsLCJwdXIiOiJibG9iX2lkIn19--de6eb458d07377fb9d25e6ed92e1917f274c8cdb\u002Fprofile.jpg","https:\u002F\u002Fapi.backtrackacademy.com\u002Frails\u002Factive_storage\u002Fblobs\u002Fredirect\u002FeyJfcmFpbHMiOnsibWVzc2FnZSI6IkJBaHBBckVPIiwiZXhwIjpudWxsLCJwdXIiOiJibG9iX2lkIn19--b24d5e96299a9854217f571bce650edc5671dafa\u002FMetasploit.png","2019-02-28T23:29:33-03:00","2026-10-26T18:19:15-03:00",{"slug":47,"title":48,"summary":49,"category":50,"author":13,"image_url":51,"image_thumb_url":51,"published_at":52,"updated_at":53},"obteniendo-las-cuentas-cifradas-con-analisis-forense-de-memoria-lastpass","Obteniendo las cuentas cifradas con análisis forense de memoria. LastPass","Esta publicación se me ocurrió debido a que esta semana leí la noticia PSA: LastPass Does Not Encrypt Everything In Your Vault básicamente LastPass no está cifrando todos los datos del usuario\r\nLastPass es una de las plataformas más utilizadas para almacenar nuestras cuentas de usuario y contraseñas y poder acceder a ellas siempre que lo necesitemos.",{"slug":8,"name":9},"https:\u002F\u002Fapi.backtrackacademy.com\u002Frails\u002Factive_storage\u002Fblobs\u002Fredirect\u002FeyJfcmFpbHMiOnsibWVzc2FnZSI6IkJBaHBBaUlPIiwiZXhwIjpudWxsLCJwdXIiOiJibG9iX2lkIn19--e078e65ff3fe8081783f3d2264b8274e033f9f9e\u002Fshutterstock_1159844176.jpg","2017-02-21T22:51:36-03:00","2026-10-26T18:56:20-03:00",{"slug":55,"title":56,"summary":57,"level":58,"specialty":13,"category":59,"instructor":60,"image_url":64,"image_thumb_url":64,"duration_seconds":65,"lessons_count":66,"students_count":67,"is_free":68,"coming_soon":68,"updated_at":69},"introduccion-al-computo-forense","Introducción al cómputo forense","Aprende fundamentos teóricos y prácticos del cómputo forense.","Basicos",{"slug":8,"name":9},{"username":61,"name":62,"avatar_url":63},"pacopadilcyber","Juan Francisco Padilla Suaste","https:\u002F\u002Fapi.backtrackacademy.com\u002Frails\u002Factive_storage\u002Fblobs\u002Fredirect\u002FeyJfcmFpbHMiOnsibWVzc2FnZSI6IkJBaHBBc3dKIiwiZXhwIjpudWxsLCJwdXIiOiJibG9iX2lkIn19--46767f3afdbcf97d2d7ce065e1328ae065a2a55b\u002Fdownload.jpeg","https:\u002F\u002Fapi.backtrackacademy.com\u002Frails\u002Factive_storage\u002Fblobs\u002Fredirect\u002FeyJfcmFpbHMiOnsibWVzc2FnZSI6IkJBaHBBandOIiwiZXhwIjpudWxsLCJwdXIiOiJibG9iX2lkIn19--64509000b445be1b465f949fb18971f07c458110\u002FAn-forense-pequen%CC%83a2.png",21670,32,1781,false,"2025-02-15T00:32:05-03:00"]