搜索

[11155] 2017-03-22_数字取证技术Windows内存信息提取

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2017-03-22_数字取证技术Windows内存信息提取 数 字 取 证 技 术   |   W i n d o w s 内 存 信 息 提 取 C u n l i n   F r e e B u f   2 0 1 7 - 0 3 - 2 2 * 原 创 作 者 ： C u n l i n ， 本 文 属 F r e e b u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 0 × 0 0 概 述 概 述 后 面 会 花 一 部 分 时 间 ， 写 一 些 数 字 取 证 相 关 的 文 章 。 攻 击 技 术 贴 多 如 牛 毛 ， 眼 下 不 管 是 网 安 ， 还 是 安 全 厂 商 ， 后 面 会 花 一 部 分 时 间 ， 写 一 些 数 字 取 证 相 关 的 文 章 。 攻 击 技 术 贴 多 如 牛 毛 ， 眼 下 不 管 是 网 安 ， 还 是 安 全 厂 商 ，   欠 缺 的 是 对 欠 缺 的 是 对 取 证 技 术 的 研 究 。 取 证 技 术 的 研 究 。 大 致 想 了 一 下 ， 主 要 会 从 以 下 几 个 方 面 逐 一 介 绍 吧 ： -     内 存 -     硬 盘 镜 像 -     网 络 -     T i m e l i n e 利 用 -     威 胁 情 报 在 取 证 中 的 作 用 等 0 × 0 1   w i n d o w s 内 存 取 证 内 存 取 证 取 证 的 时 候 为 什 么 要 做 内 存 分 析 ？ 因 为 在 内 存 里 面 可 以 看 到 操 作 系 统 在 做 的 几 乎 所 有 的 事 情 。 当 内 存 块 不 被 覆 盖 的 情 况 下 ， 很 多 历 史 信 息 同 样 被 保 留 。 主 要 有 ： -     进 程 和 线 程 -     恶 意 软 件 ， 包 括 r o o t k i t 技 术 -     网 络 s o c k e t ， U R L ， I P 地 址 等 -     被 打 开 的 文 件 -     用 户 生 成 的 密 码 ， c a c h e ， 剪 贴 板 等 -     加 密 键 值 -     硬 件 和 软 件 的 配 置 信 息 -     操 作 系 统 的 事 件 日 志 和 注 册 表 有 了 以 上 这 些 信 息 ， 我 们 可 以 找 出 更 多 有 用 的 信 息 ， 在 本 文 章 中 ，   我 们 就 以 找 出 系 统 的 历 史 C M D 命 令 行 为 例 。 0 × 0 2 内 存 的 获 取 内 存 的 获 取
基 本 上 ， 都 是 通 过 工 具 ， 或 者 已 经 由 系 统 生 成 的 d u m p 文 件 来 获 取 其 信 息 。 当 然 ， 在 虚 拟 环 境 下 ，   也 可 以 通 过 虚 拟 机 的 镜 像 文 件 ， 或 者 快 照 文 件 获 取 内 存 信 息 。 0 × 0 3   内 存 镜 像 的 分 析 内 存 镜 像 的 分 析 我 们 以 R e d l i n e 工 具 为 例 ，   来 分 析 一 下 当 前 内 存 的 信 息 。 首 先 ， R e d l i n e 可 以 直 接 收 集 当 前 的 内 存 信 息 。   也 可 以 利 用 威 胁 情 报 （ I o C ） 来 搜 索 当 前 的 内 存 信 息 。 这 里 就 不 多 介 绍 。
我 们 直 接 打 开 已 经 获 取 到 的 内 存 镜 像 文 件 ： s o b i g . i m g 注 意 ， 因 为 本 文 章 要 获 取 系 统 的 历 史 C M D 命 令 ，   所 以 需 要 修 改 一 下 默 认 分 析 脚 本 ：   打 开 S t r i n g s 参 数 。
完 全 打 开 之 后 ， 我 们 可 以 看 到 很 多 信 息 ： 1 .   进 程 和 各 个 进 程 之 间 的 父 子 关 系 。 2 .   每 个 进 程 参 数 3 .   R e d l i n e 自 带 打 分 功 能 M R I ， 给 每 个 进 程 打 分 。   恶 意 进 程 的 M R I 会 很 高 ， 标 记 为 红 色 。 4 .   加 载 的 驱 动 5 .   H o o k s 6 .   根 据 时 间 生 成 t i m e l i n e 。   这 个 在 做 安 全 应 急 响 应 分 析 的 时 候 非 常 重 要 。
图 上 红 色 的 就 是 恶 意 进 程 。 0 × 0 4 获 取 历 史 获 取 历 史 C M D 命 令 命 令 在 w i n d o w s   X P 下 ，   一 般 c m d . e x e 的 历 史 记 录 存 在 于 c s r s s . e x e 进 程 内 。   而 w i n d o w s   7 上 ， 则 存 在 于 C o n h o s t . e x e 进 程 内 。 所 以 在 这 个 例 子 中 ， 我 们 可 以 看 c s r s s . e x e 进 程 的 具 体 信 息 然 后 再 选 在 我 们 之 前 打 开 的 S t r i n g s 参 数 。 我 们 可 以 看 到 这 个 进 程 在 运 行 过 程 中 ， 一 些 调 用 的 函 数 名 称 等 字 符 。   类 似 通 过 B i n T e x t 来 查 看 一 个 二 进 制 文 件 一 样 。
再 通 过 过 滤 器 来 提 取 所 有 c m d . e x e 的 信 息 ，   我 们 就 能 看 到 ，   计 算 机 在 运 行 的 过 程 中 所 有 执 行 过 的 C M D 命 令 。
  0 × 0 5 总 结 总 结 通 过 以 上 小 例 子 ， 我 们 可 以 从 内 存 信 息 里 面 提 取 一 些 重 要 的 证 据 。 如 果 当 黑 客 已 经 攻 破 了 内 网 一 台 主 机 （ C & C 已 经 建 立 ） ， 大 多 都 会 使 用 系 统 自 带 的 命 令 来 收 集 更 多 的 信 息 ， 或 者 进 一 步 侵 入 内 网 其 他 主 机 。 使 用 C M D 的 好 处 是 容 易 隐 藏 自 己 的 行 为 。 因 此 ， 这 种 情 况 下 我 们 可 以 通 过 类 似 上 述 手 段 ， 找 到 更 多 黑 客 的 踪 迹 。 当 然 ，   这 里 介 绍 的 R e d l i n e 只 是 其 中 的 一 个 工 具 。   类 似 还 有 非 常 流 行 的 V o l a t i l i t y 等 。 在 后 面 的 文 章 中 会 有 更 多 的 介 绍 。 * 原 创 作 者 ： C u n l i n ， 本 文 属 F r e e b u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理