2.4 KiB
Ανάλυση μνήμης
{{#include ../../../banners/hacktricks-training.md}}
Έναρξη
Ξεκινήστε αναζητώντας κακόβουλο λογισμικό μέσα στο pcap. Χρησιμοποιήστε τα εργαλεία που αναφέρονται στο Malware Analysis.
Volatility
Το Volatility είναι το κύριο ανοιχτού κώδικα πλαίσιο για την ανάλυση μνήμης. Αυτό το εργαλείο Python αναλύει dumps από εξωτερικές πηγές ή VMware VMs, αναγνωρίζοντας δεδομένα όπως διαδικασίες και κωδικούς πρόσβασης με βάση το προφίλ OS του dump. Είναι επεκτάσιμο με plugins, καθιστώντας το πολύ ευέλικτο για ποινικές έρευνες.
Αναφορά σφάλματος mini dump
Όταν το dump είναι μικρό (μόνο μερικά KB, ίσως μερικά MB) τότε πιθανότατα πρόκειται για αναφορά σφάλματος mini dump και όχι για dump μνήμης.
Αν έχετε εγκατεστημένο το Visual Studio, μπορείτε να ανοίξετε αυτό το αρχείο και να συνδέσετε κάποιες βασικές πληροφορίες όπως το όνομα της διαδικασίας, την αρχιτεκτονική, τις πληροφορίες εξαίρεσης και τα εκτελούμενα modules:
Μπορείτε επίσης να φορτώσετε την εξαίρεση και να δείτε τις αποσυμπιεσμένες εντολές
Ούτως ή άλλως, το Visual Studio δεν είναι το καλύτερο εργαλείο για να εκτελέσετε μια ανάλυση βάθους του dump.
Πρέπει να το ανοίξετε χρησιμοποιώντας IDA ή Radare για να το επιθεωρήσετε σε βάθος.
{{#include ../../../banners/hacktricks-training.md}}