根底事情呼应中的Volatility作业流程

根底事情呼应中的Volatility作业流程最近,我发现自己需求对完好内存转储进行一些查询。通过一段时间的搜索,我发现了Volatility-Labs的这篇文章,依据其间的辅导办法,我能够很好的来评价内存转储。当然,你或

最近,我发现自己需求对完好内存转储进行一些查询。通过一段时间的搜索,我发现了Volatility-Labs的这篇文章,依据其间的辅导办法,我能够很好的来评价内存转储。当然,你或许会有更好、更深度...

最近,我发现自己需求对完好内存转储进行一些查询。通过一段时间的搜索,我发现了Volatility-Labs的这篇文章,依据其间的辅导办法,我能够很好的来评价内存转储。当然,你或许会有更好、更深度的内存歹意软件剖析技能,但对内存转储进行根本的剖析却是必不可少的。
首要,咱们需求搜集内存转储。详细怎么挑选相关东西,请点此。在这篇文章的测验中,我挑选运用了DumpIt,DumpIt 是一款绿色免装置的windows内存镜像取证东西。利用它咱们能够轻松的将一个体系的完好内存镜像下来,并用于后续的查询取证作业。

将可履行文件加载到闪存驱动器后,我将其附加到体系进行查询。在本文,我运用带有/ T标志的指令,以RAW格局仿制内存。
.DumpIt.exe /T RAW
在获取内存并将其仿制到剖析体系之后,咱们首要需求找到的是咱们需求运用的内存配置文件,以便咱们的东西知道怎么读取转储。在本文的示例中,我将运用开源东西Volatility来查询和剖析转储文件。在此,我主张从其下载页面直接下载独立可履行文件,以防止发生安全问题。关于Volatility,要运转的指令是imageinfo,这应该会需求等候一段时间,然后呈现输出引荐的内存配置文件。

现在,有了配置文件,咱们就能够查询任何体系管理员都应该了解的一些数据、正在运转的流程和网络活动。
· -profile:设置volatile,以了解怎么处理内存转储;
· -f:指定要提取的volatile文件(原始内存文件);
· pslist:列出正在运转的进程;
· netscan:网络活动,类似于许多操作体系上的netstat;

查看此数据,剖析师或许会注意到一些古怪的状况,或许能够查看基线或体系一切者是否有来自体系的已知杰出活动的列表。
查询并查看实时数据后,能够对已加载的可履行文件进行评价。为此,咱们将转储一切DLL和加载的模块。
在本文,咱们将运用-D标志将文件转储到输出目录。
· dlldump:转储加载的dll
· moddump:转储加载的模块

接下来,咱们将运用volatility 模块 malfind在运转的进程中查找代码注入,并将其转储到输出目录。
· malfind:寻觅注入的shellcode

在搜集完这些数据后,咱们将运用已知的IOC进行扫描。在本文的示例中,我运用了ClamAV,Loki和SparkCore(次序如下),其间每个都能够了解歹意运转的代码。

所以现在事情响应者能够承认体系内存中存在歹意代码而且能够适当地进行更深化的剖析。
 

内容来源网络,如有侵权,联系删除,本文地址:https://www.230890.com/zhan/7245.html

(0)

相关推荐

  • 任:办公室没有将军,不打粮食的经理坚决淘汰。

    文 / 吴晓波,浙江大学创新创业与战略管理系教授,浙江大学求是特聘教授;徐光国,浙江大学心理学博士,华为管理培训资深顾问;张武杰,浙江大学工学博士、管理学博士后来源:华夏基石e洞察节选自《激活组织——华为奋进的密码》(中信出版集团),华夏基石e洞察经授权发布

    科技 2021年10月24日
  • 数据库中的记录类型判断非空的办法是什么

    技术数据库中的记录类型判断非空的办法是什么本篇内容主要讲解“数据库中的记录类型判断非空的办法是什么”,感兴趣的朋友不妨来看看。本文介绍的方法操作简单快捷,实用性强。下面就让小编来带大家学习“数据库中的记录类型判断非空的办

    攻略 2021年11月9日
  • 中原银行新乡,中原银行啥时候成立的

    一、新中原银行即将诞生(一)中原银行拟吸收合并洛阳银行、平顶山银行、焦作中旅银行三家银行1、2021年10月27日,中原银行发布公告称“董事会通过拟合并洛阳银行、平顶山银行、焦作中旅银行”,意味着规模过万亿的新中原银行将诞生。

    生活 2021年10月28日
  • 我最熟悉的一个人我的爸爸,我最熟悉的人—我的爸爸

    【美丽故事】,用梦想点亮孩子的未来! 你好,我是麦克。 今天,我们来谈谈父女关系。对她以后的生活会有什么影响? 在很多爸爸的观念里,大部分都认为女儿应该衣食无忧,所以他们最大的责任...

    生活 2021年11月6日
  • 安卓手机如何将照片导入电脑,安卓系统如何把手机相片传到电脑上

    本文收集整理关于怎么把安卓手机的照片备份到电脑的相关话题,使用下面的快速导航可以快速找到相关话题。 安卓手机用什么软件可以把图片导出到电脑上呢? 如何快速将手机上的照片传到电脑上 ...

    2022年3月17日
  • Asp.net软件使用log4net。

    技术asp.net中软件使用log4net这篇文章主要为大家展示了“asp.net中软件使用log4net”,内容简而易懂,条理清晰,希望能够帮助大家解决疑惑,下面让小编带领大家一起研究并学习一下“asp.net中软件使

    攻略 2021年12月17日