搜索

[14833] 2019-11-19_AutoMacTC：一款针对macOS环境的自动化取证分类采集器

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-11-19_AutoMacTC：一款针对macOS环境的自动化取证分类采集器 A u t o M a c T C ： 一 款 针 对 m a c O S 环 境 的 自 动 化 取 证 分 类 采 集 器 A l p h a _ h 4 c k   F r e e B u f   2 0 1 9 - 1 1 - 1 9 工 具 介 绍 工 具 介 绍 A u t o M a c T C 是 一 个 针 对 是 一 个 针 对 m a c O S 环 境 的 模 块 化 自 动 取 证 分 类 收 集 框 架 ， 环 境 的 模 块 化 自 动 取 证 分 类 收 集 框 架 ， A u t o M a c T C 旨 在 帮 助 研 究 人 员 轻 松 访 问 旨 在 帮 助 研 究 人 员 轻 松 访 问 m a c O S 环 境 中 的 各 种 取 证 信 息 以 及 数 据 文 件 ， 而 且 它 还 能 够 对 这 些 取 证 环 境 中 的 各 种 取 证 信 息 以 及 数 据 文 件 ， 而 且 它 还 能 够 对 这 些 取 证 文 件 及 数 据 进 行 解 析 ， 并 以 可 视 化 的 形 式 呈 现 以 供 研 究 人 员 对 其 进 行 分 析 。 除 此 之 外 ， 文 件 及 数 据 进 行 解 析 ， 并 以 可 视 化 的 形 式 呈 现 以 供 研 究 人 员 对 其 进 行 分 析 。 除 此 之 外 ， A u t o M a c T C 的 输 出 可 以 为 研 究 人 员 解 决 的 输 出 可 以 为 研 究 人 员 解 决 m a c O S 环 境 中 的 事 件 响 应 提 供 有 价 值 的 建 议 。 值 得 一 提 环 境 中 的 事 件 响 应 提 供 有 价 值 的 建 议 。 值 得 一 提 的 是 ， 的 是 ， A u t o M a c T C 可 以 在 活 动 系 统 或 固 定 磁 盘 （ 加 载 的 卷 ） 中 直 接 运 行 。 可 以 在 活 动 系 统 或 固 定 磁 盘 （ 加 载 的 卷 ） 中 直 接 运 行 。 工 具 要 求 工 具 要 求 1 、 P y t h o n   2 . 7 （ m a c O S 原 生 自 带 了 P y t h o n   2 . 7 环 境 ， 之 后 该 工 具 将 增 加 P y t h o n   3 的 支 持 ） 2 、 m a c O S 目 标 系 统 ， 支 持 实 时 收 集 3 、 m a c O S 分 析 系 统 ， 进 行 已 加 载 磁 盘 镜 像 的 取 证 分 类 采 集 工 具 下 载 工 具 下 载 广 大 研 究 人 员 可 以 使 用 g i t 命 令 直 接 将 该 项 目 代 码 克 隆 至 本 地 ： 工 具 使 用 工 具 使 用 广 大 研 究 人 员 可 以 直 接 使 用 下 列 命 令 调 用 A u t o M a c T C （ 注 意 ： A u t o M a c T C 需 要 使 用 s u d o 权 限 才 能 运 行 ， 应 该 从 / u s r / b i n / p y t h o n 2 . 7 中 直 接 调 用 以 确 保 功 能 的 完 整 性 ） ： 上 述 命 令 将 会 使 用 默 认 配 置 运 行 所 有 模 块 （ - m ） 。 比 如 说 ， 默 认 的 输 入 目 录 为 “ / ” ， 即 当 前 卷 宗 的 根 目 录 ， 默 认 输 出 目 录 为 “ . / ” ， 默 认 输 出 文 件 名 的 前 缀 为 “ a u t o m a c t c - o u t p u t ” ， 默 认 输 出 文 件 格 式 为 “ C S V ” ， 默 认 C P U 优 先 级 将 被 设 置 为 “ 低 ” ， 所 有 的 输 出 文 件 压 缩 格 式 为 t a r . g z 。 查 看 所 有 的 可 用 模 块 列 表 ： 输 入 目 录 和 输 出 目 录 可 以 使 用 “ - i ” 或 “ - o ” 选 项 来 进 行 相 应 配 置 ： 我 们 还 可 以 直 接 在 运 行 参 数 后 面 加 上 需 要 包 含 或 排 除 的 模 块 名 称 ： 或 者 ， 我 们 也 可 以 排 除 使 用 特 定 模 块 ： 输 出 控 制 输 出 控 制 针 对 每 一 个 模 块 ， A u t o M a c T C 将 会 生 成 对 应 的 输 出 文 件 ， 并 向 其 中 填 充 数 据 。 输 出 文 件 格 式 默 认 为 C S V ， 但 是 可 以 使 用 “ f m t ” 参 数 来 修 改 为 J S O N 格 式 ： 输 出 文 件 填 充 完 成 之 后 ， 文 件 将 会 被 转 换 为 . t a r 格 式 。 当 最 后 一 个 模 块 的 输 出 文 件 生 成 之 后 ， A u t o M a c T C 将 会 使 用 G Z I P 将 所 有 输 出 报 告 压 缩 为 . t a r . g z 文 档 。 t a r 文 件 名 遵 循 下 列 命 名 规 范 ： 第 一 个 p e r f i x 可 以 使 用 “ - p ” 参 数 指 定 ， 如 果 不 指 定 ， 那 么 前 缀 默 认 为 “ a u t o m a c t c - o u t p u t ” 。 其 他 的 数 据 域 会 在 程 序 运 行 过 程 中 进 行 填 充 。 如 果 你 需 要 在 多 个 系 统 中 运 行 A u t o M a c T C 的 话 ， 你 可 以 尝 试 为 单 一 事 件 生 成 取 证 报 告 ： 若 你 不 想 生 成 t a r 文 档 的 话 ， 可 以 使 用 下 列 命 令 获 取 原 始 文 件 ： 工 具 当 前 模 块 工 具 当 前 模 块 - p s l i s t （ a u t o m a t c 运 行 时 的 当 前 进 程 列 表 ） - l s o f （ a u t o m a t c c 运 行 时 打 开 的 当 前 文 件 句 柄 ） g i t   c l o n e   h t t p s : / / g i t h u b . c o m / C r o w d S t r i k e / a u t o m a c t c . g i t s u d o   / u s r / b i n / p y t h o n 2 . 7   a u t o m a c t c . p y   - m   a l l a u t o m a c t c . p y   - l a u t o m a c t c . p y   - i   /   - o   / a u t o m a c t c _ o u t p u t   - m   a l l a u t o m a c t c . p y   - m   p s l i s t   b a s h   p r o f i l e r a u t o m a c t c . p y   - x   d i r l i s t   a u t o r u n s a u t o m a c t c . p y   - m   a l l   - f m t   j s o n p r e f i x , h o s t n a m e , i p , a u t o m a c t c _ r u n t i m e . t a r a u t o m a c t c . p y   - m   a l l   - p   g r a n n y - s m i t h a u t o m a c t c . p y   - m   a l l   - p   g r a n n y - s m i t h   - n t
- n e t s t a t （ a u t o m a t c c 运 行 时 的 当 前 网 络 连 接 ） - A S L （ 解 析 的 A p p l e 系 统 日 志 （ . a s l ） 文 件 ） - a u t o r u n s （ 解 析 各 种 持 久 性 位 置 和 p l i s t ） - b a s h （ 为 所 有 用 户 解 析 b a s h / * u 历 史 文 件 ） - c h r o m e （ 解 析 c h r o m e 访 问 历 史 和 下 载 历 史 ） - c o r e A n a l y t i c s （ 解 析 由 A p p l e   D i a g n o s t i c s 生 成 的 程 序 执 行 证 据 ） - d i r l i s t   （ 列 出 磁 盘 上 的 所 有 文 件 和 目 录 ） - f i r e f o x （ 解 析 F i r e f o x 访 问 历 史 和 下 载 历 史 ） - i n s t a l l h i s t o r y （ 分 析 程 序 安 装 历 史 ） - m r u （ 解 析 s f l 和 m r u   p l i s t 文 件 ） - q u a r a n t i n e s （ 分 析 Q u a r a n t i n e E v e n t S v 2 数 据 库 ） - q u i c k l o o k （ 分 析 Q u i c k L o o k s 数 据 库 ） - s a f a r i （ 解 析 S a f a r i 访 问 历 史 和 下 载 历 史 ） - s p o t l i g h t （ 分 析 用 户 s p o t l i g h t 顶 部 搜 索 ） - s s h （ 为 每 个 用 户 解 析 已 知 的 主 机 和 授 权 的 密 钥 文 件 ） - s y s l o g （ 分 析 s y s t e m . l o g 文 件 ） - s y s t e m i n f o （ 基 本 系 统 标 识 ， 如 当 前 I P 地 址 、 序 列 号 、 主 机 名 ） - t e r m i n a l s t a t e （ 分 析 终 端 保 存 状 态 文 件 ） - u s e r s （ 列 出 系 统 上 现 有 和 已 删 除 的 用 户 ） - u t m p x （ 列 出 终 端 上 的 用 户 会 话 ） 工 具 高 级 使 用 工 具 高 级 使 用 禁 用 v e r b o s e 调 试 日 志 生 成 ： 使 用 静 默 模 式 运 行 A u t o M a c T C ： 在 控 制 台 显 示 调 试 信 息 ： 以 常 规 C P U 优 先 级 运 行 A u t o M a c T C ： 帮 助 菜 单 帮 助 菜 单 项 目 地 址 项 目 地 址 A u t o M a c T C ： h t t p s : / / g i t h u b . c o m / C r o w d S t r i k e / a u t o m a c t c * 参 考 来 源 ： 参 考 来 源 ： C r o w d S t r i k e ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 a u t o m a c t c . p y   - m   a l l   - n l a u t o m a c t c . p y   - m   a l l   - q a u t o m a c t c . p y   - m   a l l   - d a u t o m a c t c . p y   - m   a l l   - r u s a g e :   a u t o m a c t c . p y   [ - m   I N C L U D E _ M O D U L E S   [ I N C L U D E _ M O D U L E S   . . . ]   |   - x                                         E X C L U D E _ M O D U L E S   [ E X C L U D E _ M O D U L E S   . . . ]   |   - l ]   [ - h ]                                         [ - i   I N P U T D I R ]   [ - o   O U T P U T D I R ]   [ - p   P R E F I X ]   [ - f ]   [ - n t ]   [ - n l ]                                         [ - f m t   { c s v , j s o n } ]   [ - n p ]   [ - b ]   [ - q   |   - d ]                                         [ - K   D I R _ I N C L U D E _ D I R S   [ D I R _ I N C L U D E _ D I R S   . . . ] ]                                         [ - E   D I R _ E X C L U D E _ D I R S   [ D I R _ E X C L U D E _ D I R S   . . . ] ]                                         [ - H   D I R _ H A S H _ A L G   [ D I R _ H A S H _ A L G   . . . ] ]                                         [ - S   D I R _ H A S H _ S I Z E _ L I M I T ]   [ - R ]   [ - N C ]   [ - N M ]   A u t o M a c T C :   a n   A u t o m a t e d   m a c O S   f o r e n s i c   t r i a g e   c o l l e c t i o n   f r a m e w o r k .   m o d u l e   f i l t e r :     - m   I N C L U D E _ M O D U L E S   [ I N C L U D E _ M O D U L E S   . . . ] ,   - - i n c l u d e _ m o d u l e s   I N C L U D E _ M O D U L E S   [ I N C L U D E _ M O D U L E S   . . . ]                                                 m o d u l e ( s )   t o   u s e ,   u s e  
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理