题目补完计划 No.1

说在前头

依旧从这套题目开始（因为最近电脑没空间了又翻到这个，做完了就删掉）

今天捣鼓了一下把lovelymem和lovelyspark的cli接进了Agent，今天尝试用lovelymem的cli做内存取证题，效果非常好本身两个工具都是单文件的，所以使用的时候可以直接放到在系统环境变量的文件夹下，随时随地都能调用就比如专门弄个文件夹装单文件的东西（包括自己写bat也可以当作命令快速调用，感觉是个不错的小技巧） lovelymem的help界面 lovelyspark的help界面根据help界面我们可以写一些skills

1. fst_lovelyspark（日志 / 流量分析）

核心是两段式契约：先 analyze 建缓存库拿到 db_path，再对同一个库反复 call。



{ "op": "analyze", "path": "D:\\case\\capture.pcapng" }

→ 返回 data.db_path（如 .../lovelyspark/xxx.db）。后续所有分析都指向这个库：



{ "op": "call", "db": "<db_path>", "tool": "<工具名>", "tool_args": "{\"proto\":\"http\"}" }

工具清单：{ "op": "tools", "sub": "list" }（或 --sub schema 看参数契约）。
一条龙调查：{ "op": "investigate", "path": "...", "focus": "all|overview|threats|files|credentials", "limit": 12 }。
底层抓包透传：{ "op": "tshark", "extra_args": "-Y http -T fields -e ip.src" }。
其它：license（status/device-code/import）、config、capture（merge/filter/repair）、traffic。
analyze 首次建库很慢（大 pcap 可达分钟级）：timeout 参数默认 600s，别设太小。

2. fst_lovelymem（内存取证）



{ "op": "doctor" }

→ 授权状态 + 引擎配置（starmem 原生引擎 / vol3 即 Volatility3 包装）。



{ "op":"plugins","engine":"starmem","query":"ps"}

{"op":"describe","engine":"starmem","plugin":"pslist"}

{"op":"run","engine":"starmem","image":"E:\\case\\memdump.mem","plugin":"pslist","timeout":"1800"}

产物：run 返回 run_dir；{ "op": "artifacts", "run-dir": "..." } 列出产物； { "op": "read", "run-dir": "...", "path": "<产物>", "encoding": "utf8|base64|hex" } 读内容； { "op": "sql", "run-dir": "...", "path": "<sqlite>", "request": "<query.json>" } 查结构化库。
partial ≠ 失败：run 的顶层 status 可能是 partial（如进程链表被并发修改的 head_blink_mismatch 告警），只要 result.success=true 产物就完整可用，直接取数据。
result.source_record_count 是顶层区段数（如 pslist=1），不是条目数（真实进程数看 processes 数组长度）——不要拿它当记录数。
常用 starmem 插件：pslist / cmdline / netscan / dlllist / filescan / malfind / handles / registry-hives / cachedump（凭据）/ browser-history。
内存扫描是长任务：timeout 默认 1800s；薄壳给 CLI 跑满再加 3 分钟余量。

3. 通用纪律

exe 找不到 → 先查面板「设置」是否填了路径；再查环境变量；不要改代码硬编码。
输出统一 {ok:true/false, ...}；失败时带 error + _stderr_tail + _cli_exit_code （3=授权失败，4=执行/读取失败，5=报告不完整但数据可用，124=超时）。
流量题：fst_lovelyspark 优先，报错/做不出立即回退 tshark（analyzing-network-traffic-with-wireshark 技能）。
内存题：fst_lovelymem 优先（starmem 原生引擎），复杂插件面不够再考虑 vol3 或 analyzing-memory-dumps-with-volatility 技能。（这里把lovelymem和lovelyspark做了dsh的插件化注入，师傅们使用时也可以直接skills+路径替换；同时也做了tshark和volatility兜底，不过目前看基本不需要）

本次模型使用deepseek-v4-flash-0731（也就是旧版本v4f）

内存取证

手工部分是以前做的，所以用的lovelymem v2，师傅已经开源了这个版本，可以看看 v3的做法可以看这位师傅写的文章：

电子取证初学

dsh自动分了两个子代理做

内存取证-1

请给出计算机内存创建北京时间？ [答案格式：2000-01-11 00:00:00] 注意这里要+8（北京时间）

内存取证-2

请给出计算机内用户yang88的开机密码？ [答案格式：abc.123]

内存取证-3

提取内存镜像中的USB设备信息，给出该USB设备的最后连接北京时间？ [答案格式：2000-01-11 00:00:00] 这里真正像外接 U 盘的设备是：


VID_0781&PID_558CSerial Number: 32313131374D343032343132[2023-06-20 17:01:25 UTC]

其中：


VID_0781

通常对应 SanDisk 闪迪设备，PID_558C 是该 USB 设备的产品 ID。前面的 ROOT_HUB、ROOT_HUB20、VID_0E0F 更像是 USB 控制器、虚拟机相关设备，不是题目要找的外接 USB 存储设备。所以最后连接时间取：2023-06-20 17:01:25 UTC 13个用户已解出