macOS Memory Dumping
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Os arquivos de troca, como /private/var/vm/swapfile0, servem como caches quando a memória física está cheia. Quando não há mais espaço na memória física, seus dados são transferidos para um arquivo de troca e, em seguida, trazidos de volta para a memória física conforme necessário. Vários arquivos de troca podem estar presentes, com nomes como swapfile0, swapfile1 e assim por diante.
O arquivo localizado em /private/var/vm/sleepimage é crucial durante o modo de hibernação. Os dados da memória são armazenados neste arquivo quando o OS X hiberna. Ao despertar o computador, o sistema recupera os dados da memória deste arquivo, permitindo que o usuário continue de onde parou.
Vale ressaltar que em sistemas MacOS modernos, este arquivo é tipicamente criptografado por razões de segurança, tornando a recuperação difícil.
Para verificar se a criptografia está habilitada para o sleepimage, o comando sysctl vm.swapusage pode ser executado. Isso mostrará se o arquivo está criptografado.
Outro arquivo importante relacionado à memória nos sistemas MacOS é o log de pressão de memória. Esses logs estão localizados em /var/log e contêm informações detalhadas sobre o uso da memória do sistema e eventos de pressão. Eles podem ser particularmente úteis para diagnosticar problemas relacionados à memória ou entender como o sistema gerencia a memória ao longo do tempo.
Para despejar a memória em uma máquina MacOS, você pode usar osxpmem.
Nota: As instruções a seguir funcionarão apenas para Macs com arquitetura Intel. Esta ferramenta agora está arquivada e o último lançamento foi em 2017. O binário baixado usando as instruções abaixo é direcionado a chips Intel, pois o Apple Silicon não existia em 2017. Pode ser possível compilar o binário para a arquitetura arm64, mas você terá que tentar por conta própria.
Se você encontrar este erro: osxpmem.app/MacPmem.kext failed to load - (libkern/kext) authentication failure (file ownership/permissions); check the system/kernel logs for errors or try kextutil(8) Você pode corrigir isso fazendo:
Outros erros podem ser corrigidos permitindo o carregamento do kext em "Segurança e Privacidade --> Geral", apenas permita.
Você também pode usar esta linha única para baixar o aplicativo, carregar o kext e despejar a memória:
Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE) Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)
