内存取证volatility工具命令详解

ゝ一世哀愁。 2024-02-05 14:31 57阅读 0赞

#### 一、环境安装 ####

##### **1.kali下安装****Volatility2** #####

注意：一般 Volatility2比Volatility3好用

wget https://bootstrap.pypa.io/pip/2.7/get-pip.py

python2 get-pip.py

python2 -m pip install Crypto

python2 -m pip install pycryptodome

python2 -m pip install pytz

python2 -m pip install Pillow \#PIL图形处理库

apt-get install pcregrep python2-dev \#插件安装依赖库

python2 -m pip install distorm3 \#反编译库

python2 -m pip install openpyxl \#读写excel文件

python2 -m pip install ujson \#JSON解析

python2 -m pip uninstall yara \#恶意软件分类工具

python2 -m pip install pycrypto \#加密工具集

python2 -m pip install construct \#mimikatz依赖库

\# 在 https://github.com/virustotal/yara/releases 下载 YARA 压缩包

tar -zxf yara-4.4.0.tar.gz

cd yara-4.4.0

sudo apt-get install automake libtool make gcc pkg-config

sudo apt-get install flex bison libssl-dev

./bootstrap.sh

./configure

make

sudo make install

sudo sh -c 'echo "/usr/local/lib" >> /etc/ld.so.conf'

sudo ldconfig

yara -h

git https://github.com/volatilityfoundation/volatility.git

cd volatility

python2 setup.py install

##### **2.windows下安装** #####

[https://www.volatilityfoundation.org/releases][https_www.volatilityfoundation.org_releases]

![3ac43e99292d41b8e8801e2e36e31e4c.png][]

#### **二、常用命令使用** ####

1. 查看内存镜像系统信息

volatility.exe -f worldskills3.vmem imageinfo

![4a882e62ac8d0b02fc45925d00d2bb19.png][]

2.查看当前内存镜像注册表中用户名

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 printkey -K "SAM\\Domains\\Account\\Users\\Names"

![5b5d37bce10a2e4c08dd40eb1c4e84f2.png][]

3.使用hashdump命令获取sam hash值

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 hashdump

![a63512d2d0f281e59596837cf91eb563.png][]

4.使用lasdump命令查看密码明文

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 lsadump

![acfa4728064a78f539dc6bb3b9563425.png][]

5.查看网络连接状态信息

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 netscan

![78735062aee5b1e9b986ec1cea7f332e.png][]

同时也可以查看到 当前系统中存在挖矿进程，获取指向的矿池地址

![70cebfd2fc40fb2457636181f6935f65.png][]

6.查看当前系统主机名

主机名通过注册表查询，需先用hivelist(也可以查看内存镜像中的虚拟地址)查询

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 hivelist

![5e921f24a77b37701e017b09aab8a95d.png][]

查看键名

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 -o 0xfffff8a000024010 printkey

![21ab2bcdd00d6bb2edb611aaa46ef654.png][]

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 -o 0xfffff8a000024010 printkey -K "ControlSet001"

![3ec1900688ab14329ccbce68e6fae0ba.png][]

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 -o 0xfffff8a000024010 printkey -K "ControlSet001\\Control "

![a373eb7a4f87a16574c79fa0a5bc1f7e.png][]

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 -o 0xfffff8a000024010 printkey -K "ControlSet001\\Control\\ComputerName"

![eb196e68cac170bf24015b8751829aa8.png][]

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 -o 0xfffff8a000024010 printkey -K "ControlSet001\\Control\\ComputerName\\ComputerName"

![4eddb8218fca691f75c862f70007a769.png][]

也可以直接通过 hivedump查询相应的键名， 但是查询非常费时间

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 hivedump -o 0xfffff8a000024010 > system.txt

7.获取当前系统IE浏览器存储的信息

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 iehistory

![dbd2ad0f25c91db1ca06e314479fcf96.png][]

8.查询系统服务名称

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 svcscan

![692ebb2eee358f6a5d89f0f96a400f96.png][]

9. 从内存文件中找到异常程序植入到系统的开机自启痕迹

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 shimcache

![8222b5a28752c76599d7c48eca9b0987.png][]

10.查看 父进程与子进程

注意：在进程中PPID比PID大，那就可能这个进程有异常程序

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 pstree

![654ea9f5742126f96fbeb977fcb08c57.png][]

11.查看 程序版本信息

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 verinfo

![fdb355ad7bfc75901249b8d5c23f1c70.png][]

12.通过 pslist命令查询 进程

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 pslist

注意：可列举出系统进程，但它不能检测到隐藏或者解链的进程

![7ba3243f4740b2c12598f327239ee711.png][]

也能进一步查到子进程的信息

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 pslist -p 2588

![c4790882eefe90f5b5c5ede486faff63.png][]

13.查看隐藏或解链的进程

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 psscan

或者

volatility.exe   -f  worldskills3.vmem     --profile=Win7SP1x64   psxview

注意：可以找到先前已终止(不活动)的进程以及被rootkit隐藏或解链的进程

![8cd17f96092fc5f1c6ee3c1ac707bf21.png][]

![a70b38ccf499af1748ca710d205ae3e6.png][]

14. 显示cmd历史命令记录

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 cmdscan

或者

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 consoles \#能看到指令的输入和输出

15.查看进程命令行参数

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 cmdline

![65548443e93680fa9954aa55732e17bb.png][]

16. 扫描内存系统中的所有文件列表

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 filescan

![b64b16385aaa386474b0dafed07dfeb0.png][]

在linux系统中可使用filescan命令参数配合gerp命令进行搜索关键字

python2 vol.py -f worldskills3.vmem --profile=Win7SP1x64 filescan |grep "flag"

python2 vol.py -f worldskills3.vmem --profile=Win7SP1x64 filescan | grep -E 'jpg|png|jpeg|bmp|gif'

![b2d855c9fe686d88d1e78d526f7f6ab2.png][]

搜索图片或者text

python2 vol.py -f worldskills3.vmem --profile=Win7SP1x64 filescan |grep -E 'txt'

python2 vol.py -f worldskills3.vmem --profile=Win7SP1x64 filescan |grep -E 'jpg'

![387dee49c5c445c48b2f296d7757c3ae.png][]

导出flag.txt文件

python2 vol.py -f worldskills3.vmem --profile=Win7SP1x64 dumpfiles -Q 0x000000007f1b6c10 -D ./

![ae52165e1816a3245fcb0f4ed8ed379b.png][]

![81bf85914ba07ba7d832a83af8994093.png][]

dump 出来的进程文件，建议使用 foremost 来分离里面的文件

17.查看文件内容(需要 filescan配合命令查询)

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 dumpfiles -Q 0xxxxxxxx -D ./

注意：需要指定偏移量 -Q 和输出目录 -D，dumpfiles：导出某一文件，指定虚拟地址

18.查看当前展示的notepad内容(win7不支持该命令)

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 notepad

19.显示有关编辑控件(曾经编辑过的内容)的信息

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 editbox

![ce2455ce3a78540235c394758116ac2c.png][]

20.提取进程内容(需要pslist命令配合查询使用)

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 memdump -p 2588 --dump-dir=./

![98ea184d32b307c2e088321551f66905.png][]注意：memdump：提取出指定进程，常用foremost 来分离里面的文件 ，需要指定进程-p \[pid\] 和输出目录 -D

提取出来的直接用strings是无法查看,需要添加-e参数

strings -e l 2626.dmp | grep flag

![83ab78baa899aa2ae8b4777d3cfefee8.png][]

21.屏幕截图

python2 vol.py -f worldskills3.vmem --profile=Win7SP1x64 screenshot --dump-dir=./

注意：需要安装PIL库，建议linux下运行

![0d9ecd74945b90c3f5eb0a47484614eb.png][]

22.查看运行程序相关记录，比如最后一次更新时间，运行过的次数等

提取出内存中记录的,当时正在运行的程序有哪些，运行过多少次，最后一次运行的时间等信息

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 userassist

![2dc4ecdb392b4d94197c525b658bb91a.png][]

23.最大程度上将内存中的信息提取出来

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 timeliner

注意:将所有操作系统事件以时间线的方式展开![b46abde0fed30ea836869b2fe8b0a3da.png][]

24.查看剪贴板信息

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 clipboard![b867c12600433f6a866373711b6acbfa.png][]

25.显示关于计算机及其操作系统的详细配置信息(需要安装插件)

volatility -f 1.vmem --profile=Win7SP1x64 systeminfo![a2431d7dc8b8d33067c69793f21d8bba.png][]26.查看访问时间

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 mftparser![d4dc47af8ca6f68baa0b938a32d699d1.png][]

27.查看环境变量

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 envars

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 envars | grep "Password"![90d7c3f6cd1c7c6492da34c5a3ffc206.png][]

28.列出某一进程加载的所有dll文件

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 dlllist

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 dlllist -p 2588

![a411f168c55f825fdd7bcdcaa7518ac1.png][]

29.获取最后登录系统的账户

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 printkey -K "SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon"

![ad04681db0af42ed36988b5fd612df55.png][]

30.显示进程权限

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 privs

![74095148bb40709d5a21cfdb347553f7.png][]

31.导出注册表

volatility.exe -f worldskills3.vmem --profile=Win7SP1x64 dumpregistry --dump-dir=./

![585a94e6bccd275da923f2b2532c70b5.png][]

![47d499c859059301cbc95dbf56887160.png][]

32.获取明文密码，直接爆破出用户密码(linxu)

python2 vol.py -f worldskills3.vmem --profile=Win7SP1x64 mimikatz

![8827867087c35d4487626e6dd634666b.png][]

33.查看SID

python2 vol.py -f worldskills3.vmem --profile=Win7SP1x64 getsids

![fc24d0fc13c6b89fda93548921220676.png][]

34.获取TrueCrypt密码信息

python2 vol.py -f worldskills3.vmem --profile=Win7SP1x64 truecryptpassphrase

![010616753bd5c6bbe0c39847cd4b871b.png][]

35.获取TrueCrypt秘钥信息

python2 vol.py -f worldskills3.vmem --profile=Win7SP1x64 truecryptmaster

![be8ee608480cdb6ff23f4628b1ade38a.png][]

36.解析MFT记录、导出MFT记录

python2 vol.py -f worldskills3.vmem --profile=Win7SP1x64 mftparser

python2 vol.py -f worldskills3.vmem --profile=Win7SP1x64 mftparser --output-file=mftverbose.txt -D ./

![eec2be6d4025d15e44e3e281b1af3970.png][]

37.寻找可能注入到各种进程中的恶意软件

python2 vol.py -f worldskills3.vmem --profile=Win7SP1x6 malfind

38.usb连接信息

python2 vol.py -f worldskills3.vmem --profile=Win7SP1x64 usbstor

![6c4eaec0fb9216aa8432aba4366cdd92.png][]

#### 三、插件安装 ####

下载地址：

https://github.com/ruokeqx/tool-for-CTF/tree/master/volatility\_plugins

https://github.com/superponible/volatility-plugins

下载之后，将 .py 插件放进volatility 的 plugins 文件夹目录下(/volatility-master/volatility/plugins)

*  lastpass.py Chrome 记录的登录密码
 *  usbstor.py 扫描注册表查找插入系统的 USB 设备
 *  chromehistory.py 谷歌浏览器历史记录
 *  firefoxhistory.py 火狐浏览器历史记录
 *  system\_info.py systeminfo
 *  sqlite\_help.py 上面两个插件的必须文

#### *四、CTF中内存取证题目类型* ####

类型1：隐藏图片  
1.查看可疑进程(pslist)  
2 导出进程文件  
3.使用查看文件内容，确认文件类型(file \*.dmp)  
4.一般图片文件使用foremost 分离 ( foremost \*.dmg)  
5.如果分离出来是镜像文件.img损坏(testdisk \*.img进行修复)  
类型2：剪切板  
1.搜索关于flag的文件(filescan | grep flag)  
2.搜索IE浏览器历史记录，查看访问了什么网站(iehistory | grep 'https://')  
3.查看编辑器中有什么，和文档有关的取证(editbox或者notepad)  
4.查看剪切板复制中有什么记录，mspaint对应进程的内容(memdump -p PID值 --dump-dir=./)  
类型3：TrueCrypt加密  
1.导出TrueCrypt对应进程的内容(memdump -p PID值 --dump-dir=./)  
2.使用Elcomsoft Forensic Disk Decryptor对导出的进程进行还原内容  
3.用VeraCrypt挂载查看还原的内容  
类型4：传输压缩包  
1.查看使用过得命令(cmdscan)  
2.搜索关键字(filescan | grep 'P@ss')  
4.dump出压缩包内存文件(dumpfiles -Q 0x0000000002c61318 -D ./)  
类型5：用户密码  
1.hashdump导出密码hash值  
2.使用jone或者在线工具对其进行NTML值破解  
https://crackstation.net/  
3.或者使用mimikatz插件进行明文读取用户的密码  
类型6：IE浏览器中保存的文件  
1.获取IE浏览器历史记录(iehistoy)  
2.过滤IE浏览器中的关键字(iehistory | grep jpg或者hint)  
3.dump出对应的jpg和hint内存文件(dumpfiles -Q 0x0000000002c61318 -D ./)  
类型7：查看主机名和IP  
1.主机名(systeminfo插件或者注册表查找对应的键名)  
2.ip(netscan)  
类型8：剪切板内容  
1.获取剪切板内容(clipboard插件)  
类型9：隐藏了flag  
1.搜索flag.txt文件(filescan | grep flag)  
2.导出flag.txt内存文件(dumpfiles -Q 0x0000000002c61318 -D ./)  
类型10：隐藏的加密的AES  
1.查看可疑程序进程(查看ppid和pid值对比以及时间不一样可判断出可疑进程也还可以用chatget来判断)  
2.查找曾经使用过的命令(cmdscan)  
3.分别导出子进程和父进程的内存内容分析(memdump -p PID值 --dump-dir=./)  
4.找到KEY和IE值，是AES加密  
类型11：encryto加密  
1.查看可疑进程(pslist)  
2.查看历史命令，.查看到加密的历史文件(cmdscan)  
3.导出加密的历史可疑文件(dumpfiles -Q 0x000000003e435890 --dump-dir=./\*\*)  
4.使用encryto进行解密  
类型12：匿名用户登录  
1.查看可疑进程,这里是注册表的进程有可疑(pslist)  
2.dump出注册表的进程内容(memdump -p 804 --dump-dir=./)  
3.查看DUMP出注册表内存关键字sam (strings -e l -d 804.dmp|grep "SAM" )，发现有可疑的用户名  
4.检索注册表中的该用户 printkey -K "SAM\\Domains\\Account\\Users\\00000493"  
5.hashdum出对应账号的用户名的密码(hashdump|grep "FHREhpe")  
类型13：rootkiet.exe木马  
1.查看可疑进程(pslist)  
一般rootkit恶意程序与svchost进行捆绑并注入到svchost.exe中，需要进入安全电脑模式才能清理  
2.-查找进程注入引用的文件(-p 880 handles -t file)  
3进程在运行过程中被注入的DLL文件(ldrmodules -p 880 | grep -i false)  
4.个注入的dll文件的内存地址(malfind -p 880)  
dlldump -p 880 --base=0x980000 --dump-dir=.

volatility命令练习的内存镜像：

链接: https://pan.baidu.com/s/1LXSJ\_RL9yotb8IKbzIQZ3g 提取码: syny

参考文章：

https://blog.csdn.net/m0\_68012373/article/details/129038773

[https_www.volatilityfoundation.org_releases]: https://www.volatilityfoundation.org/releases
[3ac43e99292d41b8e8801e2e36e31e4c.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/0e47d8911e2d4460afb969762d399f55.png
[4a882e62ac8d0b02fc45925d00d2bb19.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/a1c82403a6214625873f45f7d44423e8.png
[5b5d37bce10a2e4c08dd40eb1c4e84f2.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/cb83ccf29bf84c469f957b8e3d9eb58e.png
[a63512d2d0f281e59596837cf91eb563.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/9a9bb087e4874ee6b623f8abca24ac5b.png
[acfa4728064a78f539dc6bb3b9563425.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/402c8740aaf94db0a9bde27b9a9ff7e2.png
[78735062aee5b1e9b986ec1cea7f332e.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/53b3e922fba4410ba2c9e5bbbeef4f31.png
[70cebfd2fc40fb2457636181f6935f65.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/52aee4ba6d7f445c9a81b53fdeaff295.png
[5e921f24a77b37701e017b09aab8a95d.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/d579b09da8b6476f9e201122a72731a8.png
[21ab2bcdd00d6bb2edb611aaa46ef654.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/c7bfea14d0ba4a09b338ca1b14a61b01.png
[3ec1900688ab14329ccbce68e6fae0ba.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/ed1ae33660cb4898adb3d638acf4bb40.png
[a373eb7a4f87a16574c79fa0a5bc1f7e.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/22fc2cc8b40a4523b22e5ae807d92913.png
[eb196e68cac170bf24015b8751829aa8.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/a4ed5783dce14ddf9fd9665282c87d0c.png
[4eddb8218fca691f75c862f70007a769.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/0c5e58c1091948519a6273b0da4eb9e7.png
[dbd2ad0f25c91db1ca06e314479fcf96.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/14d0fd085f6f40968c07e48a5e19af6c.png
[692ebb2eee358f6a5d89f0f96a400f96.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/0458e90307054e03acaf5a0cc959abb9.png
[8222b5a28752c76599d7c48eca9b0987.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/5abaa007c50143cfb261d47279e10d70.png
[654ea9f5742126f96fbeb977fcb08c57.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/f4a9168a37254bc3a4b89046d78b67b1.png
[fdb355ad7bfc75901249b8d5c23f1c70.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/8fa85ed4883046fc9bb7aac7ecb2a258.png
[7ba3243f4740b2c12598f327239ee711.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/8d94bc090a234096ad87a25151b27e49.png
[c4790882eefe90f5b5c5ede486faff63.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/ccfb9b21177e4295a67d184bafa0a9bd.png
[8cd17f96092fc5f1c6ee3c1ac707bf21.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/c158eb4ce80147f19114e5cf154da93d.png
[a70b38ccf499af1748ca710d205ae3e6.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/33508a671b844cccb589e694740f9aa4.png
[65548443e93680fa9954aa55732e17bb.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/e8b896fe961a4d13afe31147775d0752.png
[b64b16385aaa386474b0dafed07dfeb0.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/494301683ece41c9a7c29ce561ba5f5f.png
[b2d855c9fe686d88d1e78d526f7f6ab2.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/10257b0378b840b5979be0c0b723fef4.png
[387dee49c5c445c48b2f296d7757c3ae.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/ba3ca92615244bb89ecb12890e3f8bbf.png
[ae52165e1816a3245fcb0f4ed8ed379b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/c4041e88fe454d909adbb3187a3ebc4d.png
[81bf85914ba07ba7d832a83af8994093.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/e7ae3bb0aba84afd847a41468eb97cb3.png
[ce2455ce3a78540235c394758116ac2c.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/0daf7a571a2f4537b0931f3584b662d0.png
[98ea184d32b307c2e088321551f66905.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/9d003c1f892143c48f8e644abfc84f65.png
[83ab78baa899aa2ae8b4777d3cfefee8.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/6afdff771443402a83e350ac89b25545.png
[0d9ecd74945b90c3f5eb0a47484614eb.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/80d03b9b09024680a2f6eed976460823.png
[2dc4ecdb392b4d94197c525b658bb91a.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/22748e69403b48cabb591171d606fcd7.png
[b46abde0fed30ea836869b2fe8b0a3da.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/de313456d0904901aa91bab400bbd122.png
[b867c12600433f6a866373711b6acbfa.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/3b3ab3a88da040bbae5ee9dcdbfcfe63.png
[a2431d7dc8b8d33067c69793f21d8bba.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/4c6d03e293e04231afad75db96e66702.png
[d4dc47af8ca6f68baa0b938a32d699d1.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/4fdaebf5b7be463a8c2466f2df1c1c0d.png
[90d7c3f6cd1c7c6492da34c5a3ffc206.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/ccf8dd0eb14840aa8052e1f6ad073e48.png
[a411f168c55f825fdd7bcdcaa7518ac1.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/ee36231ef8c5481f91eacee4c5ba030b.png
[ad04681db0af42ed36988b5fd612df55.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/94da1692945344429ae7cefb930f2c2e.png
[74095148bb40709d5a21cfdb347553f7.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/82580b64abe44dec9b6a490956588a2d.png
[585a94e6bccd275da923f2b2532c70b5.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/3c44f28f6cc6441089f3036608c3eea1.png
[47d499c859059301cbc95dbf56887160.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/dbe2a65c25514f03bbf14abb6b43cd43.png
[8827867087c35d4487626e6dd634666b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/062f95f1ae41499aac0652215dc3e0c5.png
[fc24d0fc13c6b89fda93548921220676.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/1159ede4cf01437a99e1a3a180c1bbec.png
[010616753bd5c6bbe0c39847cd4b871b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/58fff472cc8d4dd2a09fed771d76eb19.png
[be8ee608480cdb6ff23f4628b1ade38a.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/3a560380a3c0447191d2728eda974dce.png
[eec2be6d4025d15e44e3e281b1af3970.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/30ec0da3685b4cd5a6fc2eb4d0889a78.png
[6c4eaec0fb9216aa8432aba4366cdd92.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/30/e88e2247b65c400f947cd8d14158a0b1.png