数字取证入门流量分析、内存取证与隐写术hack-skills三大Forensics技能实战【免费下载链接】hack-skillsHelping AI Agent become an awesome practical hacker!项目地址: https://gitcode.com/gh_mirrors/ha/hack-skills数字取证是安全领域里最像侦探破案的方向攻击者删除了日志、抹掉了痕迹但证据往往还藏在网络流量、内存快照和图片文件里。开源项目hack-skills将这套方法论蒸馏成了三个可直接加载的取证技能——流量分析traffic-analysis-pcap、内存取证memory-forensics-volatility和隐写术steganography-techniques即使是新手也能按图索骥快速上手真实取证任务。为什么推荐用 hack-skills 学数字取证hack-skills 是一个面向 AI Agent 与安全研究者的技能知识库覆盖 14 个安全领域、100 个深度技能每个技能都以独立的SKILL.md组织可搜索、可组合、可按需加载。它和其他取证资料的最大区别在于场景化编排每个技能都带有关联路由告诉你下一步该加载哪个技能可执行的检查清单不是泛泛而谈而是从证据固定到时间线重建的完整流程三大取证技能互相引用天然构成一条完整的实战流水线三个技能的入口文档流量分析skills/traffic-analysis-pcap/SKILL.md内存取证skills/memory-forensics-volatility/SKILL.md隐写术skills/steganography-techniques/SKILL.md技能一流量分析——从数据包里读出案发现场网络流量是数字取证的第一现场。攻击者就算清除了主机日志他发起的每一次连接、DNS 查询、文件下载都会留在PCAP 抓包文件里。最常见的四类取证场景场景你要找什么关键思路 凭据狩猎明文账号密码过滤 POST 请求中包含 password / login 的数据包️ DNS 隧道异常长域名、大量 TXT 记录子域名超过 30 字符 高频查询 高可疑 文件恢复被传输的图片、文档用导出对象功能从 HTTP 流中直接还原文件 隐蔽通道USB 键盘记录、ICMP 走私按协议族逐一排查别只看 HTTP新手三件事先修包再看包损坏的 PCAP 无法打开时用pcapfix修复、editcap做格式转换技能文档第 1 节给出了完整命令善用过滤器技能文档第 2 节整理了一张 Wireshark 过滤器速查表按 IP、协议、TCP 流、HTTP、DNS、TLS、内容搜索七类组织照着抄就能用加密流量别放弃通过浏览器密钥日志SSLKEYLOGFILE可以解密 TLS 流量HTTPS 也能看得明明白白完整内容在 skills/traffic-analysis-pcap/SKILL.md从 PCAP 修复到 tshark 命令行分析共 340 多行可直接照做的操作手册。技能二内存取证——在快照里翻出隐藏进程磁盘证据可以被清理但内存不会撒谎。进程注入、窃取的凭据、断开的恶意连接都只存在于易失的内存之中。这个技能围绕业界标准工具Volatility展开。新手必知的分析思路技能文档把内存取证拆成了 10 步标准流程其中最直观的三个找茬技巧隐藏进程对比pslist正常进程链表和psscan全内存扫描的结果——只出现在扫描结果里、却不在链表里的进程就是被恶意隐藏的代码注入malfind找出那些可读写可执行、却没有对应磁盘文件的内存区域这是 shellcode 注入的教科书级特征进程树异常svchost.exe的父进程应该是services.exe如果它的爸爸是cmd.exe大概率是伪装的恶意程序技能文档第 5 节还附了一张内存中恶意软件指标对照表把检测手段 → 意味着什么整理得一清二楚。两个实用配套文件skills/memory-forensics-volatility/VOLATILITY_CHEATSHEET.mdVol2 与 Vol3 命令对照表 常见调查场景的命令序列skills/memory-forensics-volatility/SKILL.mdLinux 内存分析专节覆盖 rootkit 检测syscall 钩子、TTY 钩子技能三隐写术——在无辜文件里找隐藏数据隐写术Steganography是取证里的彩蛋环节一张看似普通的图片、一段无聊的音频里面可能藏着密码、密钥甚至整个文件。图片隐写四步排查法这是最常见的题型技能文档按由浅入深给了固定顺序查元数据EXIF先看注释、作者、缩略图字段很多隐藏数据就躺在明面上查像素最低位LSB用zsteg自动扫描所有 LSB 嵌入模式stegoveritas可一键跑完全部检查查结构异常PNG 的隐藏块、声明尺寸与 CRC 不匹配图片被偷偷裁过、动画 PNG 的隐藏帧查文件本体binwalk扫描嵌入文件、steghide提取 JPEG 系数中的加密数据还有三类新手容易漏掉的音频把声波画成频谱图文字和图形会直接浮出来WAV 尾部常有多余字节文件关注多态文件同时是合法 PDF 又是 ZIP和 NTFS 备用数据流✍️文本空格/Tab 交替编码、零宽字符、同形异码替换——一段正常文字里可能藏着完整消息工具安装和详细命令参考 skills/steganography-techniques/STEGO_TOOLS_GUIDE.md。三大技能联动一条完整的取证流水线hack-skills 里每个技能开头的关联路由不是装饰而是真实的调查路径。把三个技能串起来就是一条标准的数字取证工作流流量分析PCAP 内存取证Volatility 隐写术Stego │ │ │ ▼ ▼ ▼ 抓包还原传输的文件 ──► 内存提取磁盘文件 ──► 对可疑文件做隐写检查 找出 C2 外联地址 发现隐藏进程与注入 还原藏在图片/音频里的数据典型实战顺序是先跑流量分析导出抓包中的文件、定位可疑外联再跑内存取证还原磁盘上已删除的文件、确认注入行为最后对拿到的所有可疑文件跑隐写术检查翻出最后的隐藏数据新手上手指南5 分钟跑通第一步如果你用的是支持 Agent Skills 的工具链一条命令即可把整套技能装进你的环境主入口文档是 skills/hack/SKILL.md它负责全局路由——告诉 Agent 当前任务该加载哪个技能。新手建议按这个顺序练习 找一份练习用 PCAP先用过滤器找出所有登录请求对应流量分析第 2 节 用虚拟机做内存快照跑一遍psscan对比体验隐藏进程检测 拿一张公开的图片隐写练习题按EXIF → LSB → binwalk顺序排查常见疑问 FAQQ这三个技能需要哪些前置基础A只需要基础的命令行操作能力。技能文档把每个工具的安装、参数、预期输出都写清楚了照着执行即可。QVolatility 2 和 3 我该学哪个A直接查 VOLATILITY_CHEATSHEET.md 的命令对照表两个版本的插件名差异一目了然。Q这些内容可以合法使用吗A项目明确定位为教育与方法论蒸馏适用于 CTF 竞赛、授权渗透测试和安全研究请只在合法授权范围内使用。数字取证的乐趣在于证据一直都在缺的只是一套系统的排查思路。hack-skills 的三大 Forensics 技能正好补上了这块拼图——从流量到内存再到文件让新手也能像侦探一样推理出完整的攻击故事。【免费下载链接】hack-skillsHelping AI Agent become an awesome practical hacker!项目地址: https://gitcode.com/gh_mirrors/ha/hack-skills创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考