17 Ekim 2015 Cumartesi

Linuxlarda Bellek İmajı Almak

Modern linux sistemlerden bellek imajı almak için Linux Memory Grabber (lmg) ve Linux Memory Extractor (LiME) araçları kullanılabilir. Bu araçları bir flashdisk'e toplayalım...

#flash diskin mount olduğu dizine geçelim... 
cd /media/harun/flash
#lmg aracını indirelim...
git clone https://github.com/halpomeranz/lmg.git lmg-src 
#lmg scriptini flash diskin kök dizinine alalım.. çalıştırması kolay olur.. :)  
cp lmg-src/lmg  .
chmod +x lmg 
#static-dwarfdump.tgz paketini açalım... 
tar zxvf lmg-src/static-dwarfdump.tgz  
#LiME aracını indirelim
git clone https://github.com/504ensicsLabs/LiME.git lime 
#LiME aracını lmg için yamalayalım. Lime Makefile için küçük bir yama yapıyoruz.
cd lime/src/
patch < ../../lmg-src/lime-Makefile.patch 
#flash diskin kök dizinine geçelim...
cd ..
cd .. 
# lmg komutunu çalıştıralım ve bellek imajını alalım...

./lmg
Dumping memory in "lime" format to /mnt/capture/kali-2015-10-17_15.59.01
This could take a while...Done! Cleaning up...Done!
Grabbing a copy of /bin/bash...Done!
Compile profile for this system? [N|y] y
make -C //lib/modules/4.0.0-kali1-amd64/build CONFIG_DEBUG_INFO=y M="/mnt/volatility/tools/linux" modules
make[1]: Entering directory '/usr/src/linux-headers-4.0.0-kali1-amd64'
Makefile:10: *** mixed implicit and normal rules: deprecated syntax
  CC [M]  /mnt/volatility/tools/linux/module.o
  Building modules, stage 2.
  MODPOST 1 modules
  CC      /mnt/volatility/tools/linux/module.mod.o
  LD [M]  /mnt/volatility/tools/linux/module.ko
make[1]: Leaving directory '/usr/src/linux-headers-4.0.0-kali1-amd64'
dwarfdump -di module.ko > module.dwarf
make -C //lib/modules/4.0.0-kali1-amd64/build M="/mnt/volatility/tools/linux" clean
make[1]: Entering directory '/usr/src/linux-headers-4.0.0-kali1-amd64'
Makefile:10: *** mixed implicit and normal rules: deprecated syntax
  CLEAN   /mnt/volatility/tools/linux/.tmp_versions
  CLEAN   /mnt/volatility/tools/linux/Module.symvers
make[1]: Leaving directory '/usr/src/linux-headers-4.0.0-kali1-amd64'
  adding: module.dwarf (deflated 91%)
  adding: boot/System.map-4.0.0-kali1-amd64 (deflated 79%)
 

Bellek imajı almak için gerekli çekirdek modülleri derlendi, yüklendi, bellek imajı ve bu imajı volatility aracı ile incelmek için gerekli olan profile dosyası capture dizinin altına kayıt edildi... :)

Hiç yorum yok:

Yorum Gönder