🔎 Форензика. Полезный софт для извлечения данных из памяти.
🖖🏻 Приветствую тебя user_name.
• Задачи на форензику в #CTF могут делиться на несколько типов: анализ жесткого диска, анализ оперативной памяти и дампов трафика.
• Анализ оперативной памяти часто используется, когда у тебя был физический доступ к ПК и получилось сделать слепок оперативной памяти. По слепку можно определить, какие приложения запускались во время этого сеанса, потому что, пока человек не выключил или не перезагрузил компьютер, в оперативной памяти хранится интересующая нас информация (например, данные процессов).
• Полезную информацию еще можно найти в файлах подкачки (pagefile.sys) и гибернации (hiberfil.sys). Для *nix-based-систем стоит поискать в swap-разделе. — ='https://habr.com/ru/company/group-ib/blog/512728/'>habr.com/ru/comp…g/512728
• Для анализа дампов памяти существует много приложений, которые на слуху у всех, кто хоть раз имел дело с задачами на форензику: например Volatility и Autopsy. Крупные решения вроде Autopsy буду хороши тем, что позволяют выполнить анализ слепка одной кнопкой, однако цена за это — большое время работы программы.
• Сегодня ты узнаешь о других инструментах, благодаря которым ты можешь работать с памятью системы и получить интересующую информацию:
• dof — извлекает и помогает интерпретировать криминалистические артефакты из Docker-контейнеров. Отображает историю сборки образа, монтирует файловую систему контейнера в заданном месте, распределяет артефакты по временной шкале и так далее;
• Crowd Inspect утилита для получения информации о сетевых процессах, перечислении двоичных файлов, связанных с каждым процессом. Создает запросы к VirusTotal и другим онлайн-средствам анализа вредоносных программ и служб репутации;
• Volatility 3 — фреймворк для исследования дампов оперативной памяти. Поддерживает 18 различных версий операционных систем, умеет работать с дампами ядра Virtualbox и снапшотами VMware;
• LiME — загружаемый модуль ядра (LKM) для захвата данных из памяти устройств под управлением Linux, в том числе и Android-смартфонов;
• Encryption Analyzer утилита для анализа защищенных паролем и зашифрованных файлов, анализирует сложность шифрования отчетов и варианты дешифрования для каждого файла;
• nTimetools — инструментарий для работы с временными метками в Windows. Позволяет проверять метки в файловой системе NTFS с точностью до 100 наносекунд;
• RecuperaBit — утилита для криминалистической реконструкции файловой системы и восстановления файлов. Поддерживает только NTFS;
• MemProcFS — утилита для простого доступа к физической памяти, как к файлам виртуальной файловой системы;
• Sleuth Kit — библиотека для низкоуровневого исследования образов дисков, файловых систем и поиска улик;
• Bmap-tools — инструмент для копирования файлов с использованием создания карты блоков (bmap);
• AVML — портативный инструмент для сбора данных из энергонезависимой памяти Linux-систем;
• INDXParse — тулкит для извлечения артефактов NTFS;
• File Identifier — онлайн анализ типа файлов (более 2000);
• MetaExtractor — утилита для извеления мета-информации из офисных документов и pdf;
• CapAnalysis — утилита просморта PCAP.
📌 В дополнение. Инструменты для анализа электронной почты:
• EDB Viewer — утилита для просмотра файлов EDB Outlook без сервера Exchange;
• MBOX Viewer — утилита для просмотра электронных писем и вложений MBOX;
• OST Viewer — утилита для просмотра файлов OST Outlook без сервера Exchange;
• PST Viewer — утилита для просмотра файлов PST Outlook без сервера Exchange;
• Mail Viewer — утилита для просмотра файлов Outlook Express, Windows Mail/Windows Live Mail, базы данных сообщений Mozilla Thunderbird и отдельных файлов EML.
📌 Лабы по форензике можно найти тут:
• https://t.me/Social_engineering/1944
• https://t.me/Social_engineering/1762
Твой itle="Social Engineering" href="/channels/@Social_engineering">S.E. #Форензика
