常見的linux、windows系統(tǒng)的取證方法

1、簡述

在用戶遭受到攻擊時，除了進行快速響應，可能還會進行取證，主要是對內(nèi)存、硬盤、入侵流量、瀏覽器歷史等方面內(nèi)容進行取證。針對vmware虛擬環(huán)境，取證相對比較簡單，直接拷貝相關目錄下虛擬機目錄即可，本文主要是對非虛擬環(huán)境系統(tǒng)進行取證，分別介紹常見的linux、windows系統(tǒng)的取證方法。

2、windows系統(tǒng)

2.1 內(nèi)存取證

針對虛擬機獲取內(nèi)存，暫停vm并取出.vmem文件即可，很多木在馬程序都有較高的隱秘性，可能會修改系統(tǒng)調(diào)用的返回值，但是在內(nèi)存中的數(shù)據(jù)是真實存在的，所以在應急的時候如果無法從系統(tǒng)中找到痕跡，可看看內(nèi)存中是否有相關字段，尤其是針對一些僅存于內(nèi)存中，關機就消失的情況，內(nèi)存取證是最好的辦法。針對內(nèi)存取證主要介紹兩種工具，dumplt 、volatility兩種工具。

2.1.1 DumpIt提取內(nèi)存信息

取證過程：工具下載地址：https://www.toolwar.com/search?q=dumpit

該軟件大小只有200k，使用也比較簡單，直接運行就會將內(nèi)存存儲到raw文件中

運行完成后在當前目錄下生成內(nèi)存存儲文件

內(nèi)存分析過程：redline: 取證結(jié)束接下來就是進行內(nèi)存分析，內(nèi)存分析采用redline工具工具下載地址：https://fireeye.market/apps/211364

下載之后進行安裝即可，安裝完成后界面如下，雙擊已經(jīng)獲取內(nèi)存鏡像，加載之前保存的鏡像即可(在進行內(nèi)存?zhèn)浞輹r，由于系統(tǒng)使用情況的不同，所以最終備份的大小也不同，有的可能幾十個g,所以在備份時建議使用大的硬盤或盤）)

加載完raw文件下一步后可編輯script腳本，主要修改內(nèi)容如下，勾選strings選框

加載的后的頁面如下，由于我保存后的內(nèi)存大小大約為5G，所以過程可能會慢一些

在打開該軟件進行分析時就一直卡在這里，所以還是建議利用Volatility進行分析。Volatility: 該軟件功能還是很強大的，是用python編寫，下載地址：https://github.com/volatilityfoundation/volatility

上述地址為volatility2.6的版本，所以首先需要python2.7的環(huán)境，具體安裝過程可參考網(wǎng)上資料：https://www.bnessy.com/archives/%E7%94%B5%E5%AD%90%E6%95%B0%E6%8D%AE%E5%8F%96%E8%AF%81-volatility

介紹幾個常用的功能：vol.py?-h

查看一些常用的的用法

vol.py -f win.raw imageinfo 查看備份鏡像相關信息

vol.py -f win.raw --profile=Win7SP1x64 pslist 查看內(nèi)存中運行的進程信息

查看注冊表中的用戶信息：

vol.py?-f?win.raw?--profile=Win7SP1x64?printkey?-K?"SAMDomainsAccountUsersNames"

獲取系統(tǒng)最后登錄的賬號

vol.py?-f?win.raw?--profile=Win7SP1x64??printkey?-K?"SOFTWAREMicrosoftWindows?NTCurrentVersionWinlogon"

獲取當前用戶正在運行的程序

vol.py?-f?win.raw?--profile=Win7SP1x64??userassist??

顯示cmd歷史命令

vol.py?-f?win.raw?--profile=Win7SP1x64??cmdscan? ?

查看網(wǎng)絡連接，已經(jīng)偵聽、建立、關閉的連接

查看ie瀏覽記錄

vol.py?-f?win.raw?--profile=Win7SP1x64??iehistory

時間線：

vol.py?-f?win.raw?--profile=Win7SP1x64??timeliner

從多個位置收集大量活動信息

查看密碼：

vol.py?-f?win.raw?--profile=Win7SP1x64????hashdump

hash破解網(wǎng)站：https://crackstation.net/

內(nèi)存文件搜索，由于搜索的文件會比較多，可用grep進行過濾，很多時候可能需要分析的數(shù)據(jù)很多可利用 > aa.txt,這樣就可以將文件保存下來，封方便去查看。

vol.py?-f?win.raw?--profile=Win7SP1x64????filesacn?|?grep?nessus

文件轉(zhuǎn)儲：

vol.py?-f?win.raw?--profile=Win7SP1x64????dumpfiles?-Q?0x00000000523afd80?-D?./

進程轉(zhuǎn)存，將看到的可疑進程存儲下來

看了很多資料Volatility在ctf中取證題目中這個工具用到的比較多，在應急場景中也是可以用到的，方便進行后續(xù)的分析以及證據(jù)留存，還有很多其他的命令具體可參考網(wǎng)上前輩整理的一些資料：https://m0re.top/posts/c6e31ef3/

2.2 硬盤取證

想來想去，其實硬盤取證就是將硬盤打包成一個鏡像，網(wǎng)上類似的工具很多，可使用windows自帶的dism命令，還可以采用備份軟件，如傲梅備份軟件進行數(shù)據(jù)備份，具體操作過程比較簡單，但是在備份時需要準備個大空間的硬盤

3、linux系統(tǒng)

3.1 內(nèi)存取證

linux內(nèi)存取證利用LiME 工具，下載地址：

https://github.com/504ensicsLabs/LiME

使用方法：在編譯的時候可能會報錯，但是不影響使用

cd?src?

make

make結(jié)束后會生成lime-5.4.0-26-generic.ko內(nèi)核模塊加載生成的內(nèi)核模塊來獲取系統(tǒng)內(nèi)存，insmod 命令會幫助加載內(nèi)核模塊；模塊一旦被加載，會在你的系統(tǒng)上讀取主內(nèi)存（RAM）并且將內(nèi)存的內(nèi)容轉(zhuǎn)儲到命令行所提供的 path 目錄下的文件中。另一個重要的參數(shù)是 format；保持 lime 的格式，如下所示。在插入內(nèi)核模塊之后，使用 lsmod 命令驗證它是否真的被加載。

insmod?./lime-4.18.0-240.el8.x86_64.ko?"path=../RHEL8.3_64bit.mem?format=lime"