Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-12-02 01:19:45 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/macos-hardening/macos-security-and-privilege-escalation/macos-files-folders-and-binaries/macos-memory-dumping.md

5.6 KiB
Raw Blame History

macOS Memory Dumping

{% hint style="success" %} Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks
{% endhint %}

Memory Artifacts

Swap Files

Les fichiers d'échange, tels que /private/var/vm/swapfile0, servent de caches lorsque la mémoire physique est pleine. Lorsqu'il n'y a plus de place dans la mémoire physique, ses données sont transférées vers un fichier d'échange et ensuite ramenées en mémoire physique au besoin. Plusieurs fichiers d'échange peuvent être présents, avec des noms comme swapfile0, swapfile1, etc.

Hibernate Image

Le fichier situé à /private/var/vm/sleepimage est crucial pendant le mode hibernation. Les données de la mémoire sont stockées dans ce fichier lorsque OS X hiberne. Lors du réveil de l'ordinateur, le système récupère les données de la mémoire à partir de ce fichier, permettant à l'utilisateur de reprendre là où il s'était arrêté.

Il convient de noter que sur les systèmes MacOS modernes, ce fichier est généralement chiffré pour des raisons de sécurité, rendant la récupération difficile.

  • Pour vérifier si le chiffrement est activé pour le sleepimage, la commande sysctl vm.swapusage peut être exécutée. Cela montrera si le fichier est chiffré.

Memory Pressure Logs

Un autre fichier important lié à la mémoire dans les systèmes MacOS est le journal de pression de mémoire. Ces journaux se trouvent dans /var/log et contiennent des informations détaillées sur l'utilisation de la mémoire du système et les événements de pression. Ils peuvent être particulièrement utiles pour diagnostiquer des problèmes liés à la mémoire ou comprendre comment le système gère la mémoire au fil du temps.

Dumping memory with osxpmem

Pour dumper la mémoire sur une machine MacOS, vous pouvez utiliser osxpmem.

Note: Les instructions suivantes ne fonctionneront que pour les Macs avec architecture Intel. Cet outil est maintenant archivé et la dernière version a été publiée en 2017. Le binaire téléchargé en utilisant les instructions ci-dessous cible les puces Intel car Apple Silicon n'existait pas en 2017. Il peut être possible de compiler le binaire pour l'architecture arm64, mais vous devrez essayer par vous-même.

#Dump raw format
sudo osxpmem.app/osxpmem --format raw -o /tmp/dump_mem

#Dump aff4 format
sudo osxpmem.app/osxpmem -o /tmp/dump_mem.aff4

Si vous trouvez cette erreur : osxpmem.app/MacPmem.kext failed to load - (libkern/kext) authentication failure (file ownership/permissions); check the system/kernel logs for errors or try kextutil(8) Vous pouvez le corriger en faisant :

sudo cp -r osxpmem.app/MacPmem.kext "/tmp/"
sudo kextutil "/tmp/MacPmem.kext"
#Allow the kext in "Security & Privacy --> General"
sudo osxpmem.app/osxpmem --format raw -o /tmp/dump_mem

D'autres erreurs pourraient être corrigées en permettant le chargement du kext dans "Sécurité et confidentialité --> Général", il suffit de permettre.

Vous pouvez également utiliser cette ligne de commande pour télécharger l'application, charger le kext et dumper la mémoire :

{% code overflow="wrap" %}

sudo su
cd /tmp; wget https://github.com/google/rekall/releases/download/v1.5.1/osxpmem-2.1.post4.zip; unzip osxpmem-2.1.post4.zip; chown -R root:wheel osxpmem.app/MacPmem.kext; kextload osxpmem.app/MacPmem.kext; osxpmem.app/osxpmem --format raw -o /tmp/dump_mem

{% endcode %}

{% hint style="success" %} Apprenez et pratiquez le hacking AWS :HackTricks Formation Expert Red Team AWS (ARTE)
Apprenez et pratiquez le hacking GCP : HackTricks Formation Expert Red Team GCP (GRTE)

Soutenir HackTricks
{% endhint %}