5.9 KiB
Despejo de Memória do macOS
☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥
- Você trabalha em uma empresa de segurança cibernética? Você quer ver sua empresa anunciada no HackTricks? ou você quer ter acesso à última versão do PEASS ou baixar o HackTricks em PDF? Confira os PLANOS DE ASSINATURA!
- Descubra A Família PEASS, nossa coleção exclusiva de NFTs
- Adquira o swag oficial do PEASS & HackTricks
- Junte-se ao 💬 grupo Discord ou ao grupo telegram ou siga-me no Twitter 🐦@carlospolopm.
- Compartilhe suas técnicas de hacking enviando PRs para o repositório hacktricks e para o repositório hacktricks-cloud.
Artefatos de Memória
Arquivos de Swap
-
/private/var/vm/swapfile0: Este arquivo é usado como um cache quando a memória física fica cheia. Os dados na memória física serão empurrados para o swapfile e, em seguida, trocados de volta para a memória física se forem necessários novamente. Mais de um arquivo pode existir aqui. Por exemplo, você pode ver swapfile0, swapfile1 e assim por diante. -
/private/var/vm/sleepimage: Quando o OS X entra em hibernação, os dados armazenados na memória são colocados no arquivo sleepimage. Quando o usuário volta e acorda o computador, a memória é restaurada a partir do sleepimage e o usuário pode continuar de onde parou.Por padrão, nos sistemas modernos do MacOS, este arquivo será criptografado, então pode não ser recuperável.
- No entanto, a criptografia deste arquivo pode ser desativada. Verifique a saída de
sysctl vm.swapusage.
- No entanto, a criptografia deste arquivo pode ser desativada. Verifique a saída de
Despejando memória com osxpmem
Para despejar a memória em uma máquina MacOS, você pode usar o osxpmem.
Nota: As seguintes instruções funcionarão apenas para Macs com arquitetura Intel. Esta ferramenta agora está arquivada e a última versão foi lançada em 2017. O binário baixado usando as instruções abaixo tem como alvo chips Intel, já que o Apple Silicon não existia em 2017. Pode ser possível compilar o binário para a arquitetura arm64, mas você terá que tentar por si mesmo.
#Dump raw format
sudo osxpmem.app/osxpmem --format raw -o /tmp/dump_mem
#Dump aff4 format
sudo osxpmem.app/osxpmem -o /tmp/dump_mem.aff4
Se você encontrar este erro: osxpmem.app/MacPmem.kext falhou ao carregar - (libkern/kext) falha de autenticação (propriedade/arquivos de permissão); verifique os logs do sistema/kernel para erros ou tente kextutil(8) Você pode corrigi-lo fazendo:
sudo cp -r osxpmem.app/MacPmem.kext "/tmp/"
sudo kextutil "/tmp/MacPmem.kext"
#Allow the kext in "Security & Privacy --> General"
sudo osxpmem.app/osxpmem --format raw -o /tmp/dump_mem
Outros erros podem ser corrigidos permitindo o carregamento do kext em "Segurança e Privacidade -> Geral", apenas permita.
Você também pode usar este oneliner para baixar o aplicativo, carregar o kext e despejar a memória:
{% code overflow="wrap" %}
sudo su
cd /tmp; wget https://github.com/google/rekall/releases/download/v1.5.1/osxpmem-2.1.post4.zip; unzip osxpmem-2.1.post4.zip; chown -R root:wheel osxpmem.app/MacPmem.kext; kextload osxpmem.app/MacPmem.kext; osxpmem.app/osxpmem --format raw -o /tmp/dump_mem
{% endcode %}
☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥
- Você trabalha em uma empresa de segurança cibernética? Você quer ver sua empresa anunciada no HackTricks? ou você quer ter acesso à última versão do PEASS ou baixar o HackTricks em PDF? Confira os PLANOS DE ASSINATURA!
- Descubra A Família PEASS, nossa coleção exclusiva de NFTs
- Adquira o swag oficial do PEASS & HackTricks
- Junte-se ao 💬 grupo do Discord ou ao grupo do telegram ou siga-me no Twitter 🐦@carlospolopm.
- Compartilhe seus truques de hacking enviando PRs para o repositório hacktricks e para o repositório hacktricks-cloud.