Ders 2.33: Belleğin bir kopyasını almak
Bellek diskin tutmadıklarını tutar: çalışan süreçler (gizlenenler de), ağ bağlantıları, hiç kaydedilmemiş komut geçmişi, şifre çözme anahtarları, yüklü çekirdek modülleri. Aynı zamanda ilk kaybolan kanıttır: bir yeniden başlatma ya da birkaç saatlik etkinlik onun üzerine yazar. Laboratuvarda müşteri veritabanı db02 çekirdek düzeyinde bir rootkit belirtileri gösteriyor. Kimse ona dokunmadan önce çekirdek sürümünü kaydediyor, RAM'i AVML ile kanıt diskine kopyalıyor, imajın özetini alıyor, gözetim zincirini kaydediyor ve Volatility'nin onu okuyabildiğini denetliyorsun.
16 dk
Bu derste öğreneceklerin
- Belleğin neden ilk edinildiğini açıklamak
- Analiz için gereken çekirdek sürümünü kaydetmek
- RAM'i AVML ile ayrı bir depolamaya edinmek
- İmajın özetini almak ve gözetim zincirini kaydetmek
- Sembolleri ve ilk Volatility okumasını denetlemek
Temel terimler
- Bellek edinimi
- Fiziksel RAM'i sonraki analiz için bir dosyaya kopyalamak.
- AVML
- Linux için Uçucu Bellek Edinimi: RAM'i bir LiME imajı olarak yazan statik araç.
- LiME biçimi
- RAM aralıklarını fiziksel adresleriyle saklayan bir bellek imajı biçimi.
- Volatility 3
- Bellek adli inceleme çerçevesi; linux.* eklentileri bir imajdan süreçleri, modülleri, geçmişi ve daha fazlasını okur.
- Sembol tablosu (ISF)
- Volatility'nin ihtiyaç duyduğu, tek bir tam çekirdek derlemesinin yapı düzenleri.
- Gözetim zinciri
- Kanıtı kimin, ne zaman ve nasıl ele aldığının kaydı.
← Bir triyaj paketi toplamak · Tüm dersler · Bağlantılar ve benzer alan adları →