Ders 2.52: Bir bellek imajında gizli süreçleri bulmak

Bir rootkit canlı sistemin yalan söylemesini sağlayabilir ama zaten aldığın bellek kopyasını düzenleyemez. Volatility imajın içinde çekirdeğin kendi görev listesini dolaşır; böylece /proc'tan gizlenen süreçler ortaya çıkar. Belleğin söylediğini canlı makinenin söylediğiyle karşılaştırmak bir rootkit için en güçlü testlerden biridir. Laboratuvarda db02'nin imajından süreçleri listeliyor, onları canlı /proc ile karşılaştırıyor ve gizlenenlerin komut satırlarını, ortamlarını ve ağ soketlerini okuyorsun.

18 dk

Bu derste öğreneceklerin

Bellekten süreçleri linux.pslist ile listelemek
Belleği canlı /proc ile karşılaştırmak
Argümanları ve ortamı linux.psaux ve linux.envars ile okumak
Bellekten soketleri linux.sockstat ile okumak
Rootkit'lere karşı belleğin canlı araçlardan neden üstün olduğunu açıklamak

Temel terimler

linux.pslist: İmajdaki çekirdek görev listesini dolaşarak süreçleri listeler.
linux.psaux: Bellekten süreç komut satırları.
linux.envars: Bellekten süreç ortam değişkenleri.
linux.sockstat: Bellekten süreç başına ağ soketleri.
Çapraz görünüm analizi: Gizlemeyi açığa çıkarmak için aynı olgunun iki kaynağını (bellek ve /proc) karşılaştırmak.
/dev/shm: RAM tabanlı bir dosya sistemi; oradaki dosyalar yeniden başlatmada kaybolur.

← Bir kişinin çalıştırdığı her programı denetlemek · Tüm dersler · Zararlı ekler →