ndispktscan:NDISPktScan是Volatility Framework的插件。 它解析ndis.sys在Win...

ndispktscan NDISPktScan是的插件。 它解析由存储在Windows内核空间内存中的以太网数据包。 它是如何工作的？ 是Windows（和其他OS）使用的网卡的API。 在Windows上，API是由ndis.sys实现的，ndis.sys是。 可以通过在内核内存空间中搜索源MAC地址，然后是IPv4或IPv6的 ，来找到以太网数据包，或者取决于Windows的版本（取决于Windows的版本）。 只要知道源MAC地址，就可以找到并恢复数据包。 理想情况下，源MAC地址将通过--mac开关传递到插件（请参见下文）。 对于Windows 7和Windows Server 2008R2使用的版本NDIS 6.20，插件可以通过解析似乎是NDsh 的数据来检测MAC地址。 它可以获得什么信息？ 该插件将至少输出找到的所有数据包的源和目标MAC地址以及EtherTyp