Analiza dumpu pamięci

Naucz się hakować AWS od zera do bohatera z htARTE (HackTricks AWS Red Team Expert)!

Pracujesz w firmie zajmującej się cyberbezpieczeństwem? Chcesz zobaczyć swoją firmę reklamowaną w HackTricks? A może chcesz mieć dostęp do najnowszej wersji PEASS lub pobrać HackTricks w formacie PDF? Sprawdź PLAN SUBSKRYPCJI!
Odkryj Rodzinę PEASS, naszą kolekcję ekskluzywnych NFT
Zdobądź oficjalne gadżety PEASS & HackTricks
Dołącz do 💬 grupy Discord lub grupy telegramowej lub śledź mnie na Twitterze 🐦@carlospolopm.
Podziel się swoimi sztuczkami hakerskimi, przesyłając PR-y do repozytorium hacktricks i hacktricks-cloud.

RootedCON to najważniejsze wydarzenie związane z cyberbezpieczeństwem w Hiszpanii i jedno z najważniejszych w Europie. Mając na celu promowanie wiedzy technicznej, ten kongres jest gorącym punktem spotkań dla profesjonalistów technologii i cyberbezpieczeństwa we wszystkich dziedzinach.

{% embed url="https://www.rootedcon.com/" %}

Rozpoczęcie

Rozpocznij poszukiwanie złośliwego oprogramowania w pliku pcap. Użyj narzędzi wymienionych w Analiza złośliwego oprogramowania.

Volatility

Volatility to główny otwarty framework do analizy dumpów pamięci. Narzędzie to napisane w języku Python analizuje dump z zewnętrznych źródeł lub maszyn wirtualnych VMware, identyfikując dane takie jak procesy i hasła na podstawie profilu systemu operacyjnego w dumpie. Dzięki możliwości rozszerzania za pomocą wtyczek, jest niezwykle wszechstronne w śledzeniu śladów w śledztwach kryminalistycznych.

Tutaj znajdziesz ściągawkę

Raport z mini dumpu

Jeśli dump jest mały (tylko kilka kilobajtów, może kilka megabajtów), to prawdopodobnie jest to raport z mini dumpu, a nie dump pamięci.

Jeśli masz zainstalowany Visual Studio, możesz otworzyć ten plik i uzyskać podstawowe informacje, takie jak nazwa procesu, architektura, informacje o wyjątku i wykonywane moduły:

Możesz również załadować wyjątek i zobaczyć zdekompilowane instrukcje

W każdym razie, Visual Studio nie jest najlepszym narzędziem do przeprowadzania analizy głębokości dumpu.

Powinieneś go otworzyć za pomocą IDA lub Radare, aby dokładnie go zbadać.