Volatility - CheatSheet

Naucz się hakować AWS od zera do bohatera z htARTE (HackTricks AWS Red Team Expert)!

Inne sposoby wsparcia HackTricks:

Jeśli chcesz zobaczyć swoją firmę reklamowaną w HackTricks lub pobrać HackTricks w formacie PDF, sprawdź PLANY SUBSKRYPCYJNE!
Zdobądź oficjalne gadżety PEASS & HackTricks
Odkryj Rodzinę PEASS, naszą kolekcję ekskluzywnych NFT
Dołącz do 💬 Grupy Discord lub grupy telegramowej lub śledź nas na Twitterze 🐦 @hacktricks_live.
Podziel się swoimi sztuczkami hakerskimi, przesyłając PR-y do HackTricks i HackTricks Cloud github repos.

RootedCON to najważniejsze wydarzenie z zakresu cyberbezpieczeństwa w Hiszpanii i jedno z najważniejszych w Europie. Mając misję promowania wiedzy technicznej, ten kongres jest gorącym punktem spotkań dla profesjonalistów technologii i cyberbezpieczeństwa we wszystkich dziedzinach.

RootedCONRootedCON

Jeśli chcesz szybkie i szalone narzędzie, które uruchomi kilka wtyczek Volatility równolegle, możesz skorzystać z: https://github.com/carlospolop/autoVolatility

python autoVolatility.py -f MEMFILE -d OUT_DIRECTORY -e /home/user/tools/volatility/vol.py # It will use the most important plugins (could use a lot of space depending on the size of the memory)

Instalacja

volatility3

git clone https://github.com/volatilityfoundation/volatility3.git
cd volatility3
python3 setup.py install
python3 vol.py —h

volatility2

Download the executable from https://www.volatilityfoundation.org/26

git clone https://github.com/volatilityfoundation/volatility.git
cd volatility
python setup.py install

Polecenia Volatility

Dostęp do oficjalnej dokumentacji znajdziesz w Referencji poleceń Volatility

Uwaga dotycząca wtyczek „list” vs. „scan”

Volatility ma dwa główne podejścia do wtyczek, które czasami odzwierciedlają się w ich nazwach. Wtyczki „list” będą próbować nawigować przez struktury jądra systemu Windows, aby odzyskać informacje, takie jak procesy (lokalizacja i przechodzenie przez listę połączoną struktur _EPROCESS w pamięci), uchwyty systemowe (lokalizacja i wylistowanie tabeli uchwytów, dereferencjonowanie znalezionych wskaźników, itp.). Zachowują się one mniej więcej tak, jakby system Windows API został poproszony o wylistowanie procesów.

To sprawia, że wtyczki „list” są dość szybkie, ale równie podatne na manipulację przez złośliwe oprogramowanie jak Windows API. Na przykład, jeśli złośliwe oprogramowanie użyje DKOM do odłączenia procesu od listy połączonej struktur _EPROCESS, nie pojawi się ono w Menedżerze zadań, ani w pslist.

Wtyczki „scan” z kolei podejmą podejście podobne do wycinania pamięci w poszukiwaniu rzeczy, które mogą mieć sens, gdy zostaną dereferencjonowane jako konkretne struktury. Na przykład psscan odczyta pamięć i spróbuje utworzyć obiekty _EPROCESS z niej (używa skanowania tagów puli, które polega na wyszukiwaniu 4-bajtowych ciągów wskazujących na obecność interesującej struktury). Zaletą jest to, że może wydobyć procesy, które zostały zakończone, a nawet jeśli złośliwe oprogramowanie ingeruje w listę połączoną struktur _EPROCESS, wtyczka nadal znajdzie strukturę pozostającą w pamięci (ponieważ musi nadal istnieć, aby proces mógł działać). Wada polega na tym, że wtyczki „scan” są nieco wolniejsze niż wtyczki „list” i czasami mogą dawać fałszywe wyniki (proces, który został zakończony zbyt dawno i którego części struktury zostały nadpisane przez inne operacje).

Źródło: http://tomchop.me/2016/11/21/tutorial-volatility-plugins-malware-analysis/

Profile systemów operacyjnych

Volatility3

Jak wyjaśniono w pliku readme, musisz umieścić tabelę symboli systemu operacyjnego, który chcesz obsługiwać w volatility3/volatility/symbols. Pakiety tabel symboli dla różnych systemów operacyjnych są dostępne do pobrania pod adresem:

Volatility2

Profil zewnętrzny

Możesz uzyskać listę obsługiwanych profili wykonując:

./volatility_2.6_lin64_standalone --info | grep "Profile"

Jeśli chcesz użyć nowego profilu, który pobrałeś (na przykład profilu linux), musisz utworzyć gdzieś następującą strukturę folderów: plugins/overlays/linux i umieścić wewnątrz tego folderu plik zip zawierający profil. Następnie, uzyskaj numer profilu, korzystając z:

./vol --plugins=/home/kali/Desktop/ctfs/final/plugins --info
Volatility Foundation Volatility Framework 2.6


Profiles
--------
LinuxCentOS7_3_10_0-123_el7_x86_64_profilex64 - A Profile for Linux CentOS7_3.10.0-123.el7.x86_64_profile x64
VistaSP0x64                                   - A Profile for Windows Vista SP0 x64
VistaSP0x86                                   - A Profile for Windows Vista SP0 x86

Możesz pobrać profile Linuxa i Maca z https://github.com/volatilityfoundation/profiles

W poprzednim fragmencie możesz zobaczyć, że profil nazywa się LinuxCentOS7_3_10_0-123_el7_x86_64_profilex64, i możesz go użyć do wykonania czegoś w stylu:

./vol -f file.dmp --plugins=. --profile=LinuxCentOS7_3_10_0-123_el7_x86_64_profilex64 linux_netscan

Odkryj profil

volatility imageinfo -f file.dmp
volatility kdbgscan -f file.dmp

Różnice między imageinfo a kdbgscan

Z tej strony: W przeciwieństwie do imageinfo, które po prostu proponuje profile, kdbgscan jest zaprojektowany do pozytywnego zidentyfikowania poprawnego profilu i poprawnego adresu KDBG (jeśli istnieje ich kilka). Ten plugin skanuje sygnatury nagłówka KDBG powiązane z profilami Volatility i stosuje testy spójności w celu zmniejszenia fałszywych wyników. Natężenie wyników i liczba testów spójności, które można przeprowadzić, zależy od tego, czy Volatility może znaleźć DTB, więc jeśli już znasz poprawny profil (lub jeśli masz sugestię profilu z imageinfo), upewnij się, że go używasz.

Zawsze sprawdź liczbę procesów, które znalazł kdbgscan. Czasami imageinfo i kdbgscan mogą znaleźć więcej niż jeden odpowiedni profil, ale tylko ten poprawny będzie miał związane z nim pewne procesy (Dzieje się tak, ponieważ do wyodrębnienia procesów potrzebny jest poprawny adres KDBG)

# GOOD
PsActiveProcessHead           : 0xfffff800011977f0 (37 processes)
PsLoadedModuleList            : 0xfffff8000119aae0 (116 modules)

# BAD
PsActiveProcessHead           : 0xfffff800011947f0 (0 processes)
PsLoadedModuleList            : 0xfffff80001197ac0 (0 modules)

KDBG

Blok debugera jądra, określany jako KDBG przez narzędzie Volatility, jest kluczowy dla zadań z zakresu forensyki wykonywanych przez Volatility oraz różne debuggery. Zidentyfikowany jako KdDebuggerDataBlock i typu _KDDEBUGGER_DATA64, zawiera istotne odwołania, takie jak PsActiveProcessHead. To konkretne odwołanie wskazuje na początek listy procesów, umożliwiając wylistowanie wszystkich procesów, co jest fundamentalne dla dokładnej analizy pamięci.

Informacje o systemie

#vol3 has a plugin to give OS information (note that imageinfo from vol2 will give you OS info)
./vol.py -f file.dmp windows.info.Info

Wtyczka banners.Banners może być użyta w vol3 do próby znalezienia banerów systemu Linux w zrzucie.

Skróty/Hasła

Wyodrębnij skróty SAM, bufory pamięci podręcznej domeny i sekrety LSA.

./vol.py -f file.dmp windows.hashdump.Hashdump #Grab common windows hashes (SAM+SYSTEM)
./vol.py -f file.dmp windows.cachedump.Cachedump #Grab domain cache hashes inside the registry
./vol.py -f file.dmp windows.lsadump.Lsadump #Grab lsa secrets

Wolatility Cheat Sheet

Basic Commands

Image info: vol.py -f <memory_dump> imageinfo
Running processes: vol.py -f <memory_dump> --profile=<profile> pslist
Dumping a process: vol.py -f <memory_dump> --profile=<profile> procdump -p <pid> -D <output_directory>
File scan: vol.py -f <memory_dump> --profile=<profile> filescan
Yara scan: vol.py -f <memory_dump> --profile=<profile> yarascan --yara-rules=<rules_file>

Plugins

Check for rootkits: vol.py -f <memory_dump> --profile=<profile> malfind
Network connections: vol.py -f <memory_dump> --profile=<profile> connscan
Registry analysis: vol.py -f <memory_dump> --profile=<profile> printkey -K <registry_key>
Detecting hidden processes: vol.py -f <memory_dump> --profile=<profile> psxview

Memory Analysis

Identifying injected code: vol.py -f <memory_dump> --profile=<profile> malfind
Detecting API hooks: vol.py -f <memory_dump> --profile=<profile> apihooks
Finding hidden processes: vol.py -f <memory_dump> --profile=<profile> ldrmodules

Timeline Analysis

Listing processes by start time: vol.py -f <memory_dump> --profile=<profile> pstree
Listing all processes with creation time: voljson.py -f <memory_dump> --profile=<profile> pslist

Network Analysis

Listing open sockets: vol.py -f <memory_dump> --profile=<profile> sockets
Listing network connections: vol.py -f <memory_dump> --profile=<profile> connscan
Listing DLLs loaded by a process: vol.py -f <memory_dump> --profile=<profile> dlllist -p <pid>

User Activity Analysis

Listing user accounts: vol.py -f <memory_dump> --profile=<profile> useraccounts
Listing user sessions: vol.py -f <memory_dump> --profile=<profile> sessions
Listing user activity: vol.py -f <memory_dump> --profile=<profile> userassist

volatility --profile=Win7SP1x86_23418 hashdump -f file.dmp #Grab common windows hashes (SAM+SYSTEM)
volatility --profile=Win7SP1x86_23418 cachedump -f file.dmp #Grab domain cache hashes inside the registry
volatility --profile=Win7SP1x86_23418 lsadump -f file.dmp #Grab lsa secrets

Zrzut pamięci

Zrzut pamięci procesu wydobędzie wszystko z bieżącego stanu procesu. Moduł procdump wydobędzie tylko kod.

volatility -f file.dmp --profile=Win7SP1x86 memdump -p 2168 -D conhost/

RootedCON to najważniejsze wydarzenie z zakresu cyberbezpieczeństwa w Hiszpanii i jedno z najważniejszych w Europie. Mając misję promowania wiedzy technicznej, ten kongres stanowi gorące miejsce spotkań dla profesjonalistów technologii i cyberbezpieczeństwa we wszystkich dziedzinach.

RootedCONRootedCON

Procesy

Wyświetlanie procesów

Spróbuj znaleźć podejrzane procesy (po nazwie) lub niespodziewane procesy potomne (na przykład cmd.exe jako proces potomny iexplorer.exe). Może być interesujące porównanie wyników pslist z wynikami psscan w celu zidentyfikowania ukrytych procesów.

python3 vol.py -f file.dmp windows.pstree.PsTree # Get processes tree (not hidden)
python3 vol.py -f file.dmp windows.pslist.PsList # Get process list (EPROCESS)
python3 vol.py -f file.dmp windows.psscan.PsScan # Get hidden process list(malware)

Wolatility Cheat Sheet

Basic Commands

Image info: vol.py -f <memory_dump> imageinfo
Running processes: vol.py -f <memory_dump> --profile=<profile> pslist
Dumping a process: vol.py -f <memory_dump> --profile=<profile> memdump -p <pid> -D <output_directory>
File scan: vol.py -f <memory_dump> --profile=<profile> filescan

Plugins

Check for rootkits: vol.py -f <memory_dump> --profile=<profile> malfind
Network connections: vol.py -f <memory_dump> --profile=<profile> netscan
Registry analysis: vol.py -f <memory_dump> --profile=<profile> printkey -K <registry_key>
Detecting hidden processes: vol.py -f <memory_dump> --profile=<profile> psxview

Memory Analysis

Identifying injected code: vol.py -f <memory_dump> --profile=<profile> malfind
Analyzing DLLs: vol.py -f <memory_dump> --profile=<profile> dlllist
Identifying sockets: vol.py -f <memory_dump> --profile=<profile> sockscan

Timeline Analysis

Listing processes: vol.py -f <memory_dump> --profile=<profile> pstree
Listing all processes with creation time: vol.py -json -f <memory_dump> --profile=<profile> pstree
Listing network connections with timestamps: vol.py -f <memory_dump> --profile=<profile> connscan

Malware Analysis

Detecting injected threads: vol.py -f <memory_dump> --profile=<profile> malfind
Analyzing process memory: voljson -f <memory_dump> --profile=<profile> memmap
Identifying hidden modules: vol.py -f <memory_dump> --profile=<profile> ldrmodules

User Activity Analysis

Listing user accounts: vol.py -f <memory_dump> --profile=<profile> useraccounts
Listing user account information: vol.py -f <memory_dump> --profile=<profile> userhandles -u
Listing user account privileges: vol.py -f <memory_dump> --profile=<profile> getsids

Network Analysis

Listing open sockets: vol.py -f <memory_dump> --profile=<profile> sockets
Listing network connections: vol.py -f <memory_dump> --profile=<profile> connscan
Analyzing network packets: vol.py -f <memory_dump> --profile=<profile> tcpip

Windows Artifacts Analysis

Analyzing prefetch files: vol.py -f <memory_dump> --profile=<profile> prefetchparser
Analyzing hibernation files: vol.py -f <memory_dump> --profile=<profile> hivelist
Analyzing registry hives: vol.py -f <memory_dump> --profile=<profile> printkey -K <registry_key>

Additional Resources

Volatility GitHub: https://github.com/volatilityfoundation/volatility
Volatility Documentation: https://volatilityfoundation.github.io/volatility/
Volatility Plugins: https://github.com/volatilityfoundation/volatility/wiki/Command-Reference

volatility --profile=PROFILE pstree -f file.dmp # Get process tree (not hidden)
volatility --profile=PROFILE pslist -f file.dmp # Get process list (EPROCESS)
volatility --profile=PROFILE psscan -f file.dmp # Get hidden process list(malware)
volatility --profile=PROFILE psxview -f file.dmp # Get hidden process list

Zrzut proc

./vol.py -f file.dmp windows.dumpfiles.DumpFiles --pid <pid> #Dump the .exe and dlls of the process in the current directory

Wolatility Cheat Sheet

Basic Commands

Image info: vol.py -f <memory_dump> imageinfo
Running processes: vol.py -f <memory_dump> --profile=<profile> pslist
Dumping a process: vol.py -f <memory_dump> --profile=<profile> memdump -p <pid> -D <output_directory>
File scan: vol.py -f <memory_dump> --profile=<profile> filescan

Plugins

Check for rootkits: vol.py -f <memory_dump> --profile=<profile> malfind
Network connections: vol.py -f <memory_dump> --profile=<profile> connscan
Registry analysis: vol.py -f <memory_dump> --profile=<profile> printkey -K <registry_key>
Detecting hidden processes: vol.py -f <memory_dump> --profile=<profile> psxview

Volatility Profiles

List available profiles: vol.py --info | grep Profile
Specify profile: Add --profile=<profile> to commands

Memory Analysis

Identifying processes: vol.py -f <memory_dump> --profile=<profile> pslist
Checking process DLLs: vol.py -f <memory_dump> --profile=<profile> dlllist -p <pid>
Identifying process threads: vol.py -f <memory_dump> --profile=<profile> threads -p <pid>

Malware Analysis

Identifying injected code: vol.py -f <memory_dump> --profile=<profile> malfind
Analyzing process memory: vol.py -f <memory_dump> --profile=<profile> procdump -p <pid> -D <output_directory>

Network Analysis

Checking network connections: vol.py -f <memory_dump> --profile=<profile> connscan
Analyzing sockets: vol.py -f <memory_dump> --profile=<profile> sockets
Identifying open ports: vol.py -f <memory_dump> --profile=<profile> sockscan

File Analysis

Scanning for files: vol.py -f <memory_dump> --profile=<profile> filescan
Dumping files: vol.py -f <memory_dump> --profile=<profile> dumpfiles -Q <file_offset> -D <output_directory>

Registry Analysis

Listing registry keys: vol.py -f <memory_dump> --profile=<profile> printkey -K <registry_key>
Dumping registry hives: vol.py -f <memory_dump> --profile=<profile> hivelist
Extracting registry hives: vol.py -f <memory_dump> --profile=<profile> hivedump -o <output_directory> -s <hive_offset>

Timeline Analysis

Creating a timeline: vol.py -f <memory_dump> --profile=<profile> timeliner
Filtering by time range: vol.py -f <memory_dump> --profile=<profile> timeliner --after <date> --before <date>

Other Useful Commands

Checking for driver modules: vol.py -f <memory_dump> --profile=<profile> modscan
Analyzing SSDT: vol.py -f <memory_dump> --profile=<profile> ssdt
Identifying API hooks: vol.py -f <memory_dump> --profile=<profile> apihooks
Analyzing user handles: vol.py -f <memory_dump> --profile=<profile> handles
Listing loaded drivers: vol.py -f <memory_dump> --profile=<profile> ldrmodules

volatility --profile=Win7SP1x86_23418 procdump --pid=3152 -n --dump-dir=. -f file.dmp

Wiersz poleceń

Czy zostało wykonane coś podejrzanego?

python3 vol.py -f file.dmp windows.cmdline.CmdLine #Display process command-line arguments

Wolatility Cheat Sheet

Basic Commands

Image info: vol.py -f <memory_dump> imageinfo
Running processes: vol.py -f <memory_dump> --profile=<profile> pslist
Dumping a process: vol.py -f <memory_dump> --profile=<profile> memdump -p <pid> -D <output_directory>
File scan: vol.py -f <memory_dump> --profile=<profile> filescan

Plugins

Check for rootkits: vol.py -f <memory_dump> --profile=<profile> malfind
Network connections: vol.py -f <memory_dump> --profile=<profile> netscan
Registry analysis: vol.py -f <memory_dump> --profile=<profile> printkey -K <registry_key>
Detecting hidden processes: vol.py -f <memory_dump> --profile=<profile> psxview

Memory Analysis

Identifying injected code: vol.py -f <memory_dump> --profile=<profile> malfind
Analyzing process memory: vol.py -f <memory_dump> --profile=<profile> memmap
Identifying API hooks: vol.py -f <memory_dump> --profile=<profile> apihooks

Malware Analysis

Detecting injected threads: vol.py -f <memory_dump> --profile=<profile> malfind
Analyzing DLLs: vol.py -f <memory_dump> --profile=<profile> dlllist
Detecting hidden modules: vol.py -f <memory_dump> --profile=<profile> ldrmodules

User Activity

Recovering deleted files: vol.py -f <memory_dump> --profile=<profile> filescan --dump
Analyzing browser history: vol.py -f <memory_dump> --profile=<profile> chromehistory
Checking user login sessions: vol.py -f <memory_dump> --profile=<profile> session

Network Analysis

Analyzing network connections: vol.py -f <memory_dump> --profile=<profile> connscan
Identifying open ports: vol.py -f <memory_dump> --profile=<profile> sockets
Analyzing network packets: vol.py -f <memory_dump> --profile=<profile> tcpip

Timeline Analysis

Creating a timeline: vol.py -f <memory_dump> --profile=<profile> timeliner
Analyjsonzing system events: vol.py -f <memory_dump> --profile=<profile> evtlogs
Checking for USB devices: vol.py -f <memory_dump> --profile=<profile> usbscan

volatility --profile=PROFILE cmdline -f file.dmp #Display process command-line arguments
volatility --profile=PROFILE consoles -f file.dmp #command history by scanning for _CONSOLE_INFORMATION

Polecenia wykonane w cmd.exe są zarządzane przez conhost.exe (lub csrss.exe w systemach przed Windows 7). Oznacza to, że jeśli cmd.exe zostanie zakończony przez atakującego przed uzyskaniem zrzutu pamięci, nadal można odzyskać historię poleceń sesji z pamięci conhost.exe. Aby to zrobić, jeśli wykryto nietypową aktywność w modułach konsoli, należy wykonać zrzut pamięci procesu powiązanego z conhost.exe. Następnie, wyszukując ciągi znaków w tym zrzucie, można potencjalnie wyodrębnić używane w sesji linie poleceń.

Środowisko

Pobierz zmienne środowiskowe każdego działającego procesu. Mogą tam być interesujące wartości.

python3 vol.py -f file.dmp windows.envars.Envars [--pid <pid>] #Display process environment variables

Podstawowa metodyka analizy dumpa pamięci za pomocą narzędzia Volatility

Ogólne polecenia

imageinfo - Wyświetla informacje o obrazie pamięci
kdbgscan - Skanuje pamięć w poszukiwaniu struktury KDBG
pslist - Wyświetla listę procesów
pstree - Wyświetla drzewo procesów
dlllist - Wyświetla listę załadowanych bibliotek dynamicznych
handles - Wyświetla listę uchwytów procesów
filescan - Skanuje pamięć w poszukiwaniu struktur plików
cmdline - Wyświetla argumenty wiersza poleceń dla procesów
consoles - Wyświetla listę konsol procesów
vadinfo - Wyświetla informacje o regionach pamięci VAD
vadtree - Wyświetla drzewo regionów pamięci VAD
malfind - Skanuje pamięć w poszukiwaniu podejrzanych zachowań
ldrmodules - Wyświetla listę modułów załadowanych przez procesy
apihooks - Wyświetla informacje o hakach API
svcscan - Skanuje pamięć w poszukiwaniu baz danych usług
connections - Wyświetla listę otwartych połączeń
sockets - Wyświetla listę otwartych gniazd
devicetree - Wyświetla drzewo urządzeń
modscan - Skanuje pamięć w poszukiwaniu modułów jądra
ssdt - Wyświetla informacje o SSDT
callbacks - Wyświetla informacje o callbackach
gdt - Wyświetla informacje o GDT
idt - Wyświetla informacje o IDT
driverscan - Skanuje pamięć w poszukiwaniu sterowników
yarascan - Skanuje pamięć przy użyciu reguł YARA
dumpfiles - Wyodrębnia pliki z dumpa pamięci
dumpregistry - Wyodrębnia rejestr z dumpa pamięci
memmap - Wyświetla mapę pamięci
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Skanuje pamięć w poszukiwaniu obiektów atomowych
atomscan - Sk

volatility --profile=PROFILE envars -f file.dmp [--pid <pid>] #Display process environment variables

volatility --profile=PROFILE -f file.dmp linux_psenv [-p <pid>] #Get env of process. runlevel var means the runlevel where the proc is initated

Uprawnienia tokenów

Sprawdź uprawnienia tokenów w nieoczekiwanych usługach. Może być interesujące wymienić procesy korzystające z pewnego uprzywilejowanego tokenu.

#Get enabled privileges of some processes
python3 vol.py -f file.dmp windows.privileges.Privs [--pid <pid>]
#Get all processes with interesting privileges
python3 vol.py -f file.dmp windows.privileges.Privs | grep "SeImpersonatePrivilege\|SeAssignPrimaryPrivilege\|SeTcbPrivilege\|SeBackupPrivilege\|SeRestorePrivilege\|SeCreateTokenPrivilege\|SeLoadDriverPrivilege\|SeTakeOwnershipPrivilege\|SeDebugPrivilege"

Wolatility Cheat Sheet

Basic Commands

Image info: vol.py -f <memory_dump> imageinfo
Running processes: vol.py -f <memory_dump> --profile=<profile> pslist
Dump process: vol.py -f <memory_dump> --profile=<profile> memdump -p <pid> -D <output_directory>
File scan: vol.py -f <memory_dump> --profile=<profile> filescan

Malware Analysis

Malware scan: vol.py -f <memory_dump> --profile=<profile> malscan
Yara scan: vol.py -f <memory_dump> --profile=<profile> yarascan --yara-rules=<rules_file>

Network Analysis

Network connections: vol.py -f <memory_dump> --profile=<profile> connscan
Sockets: vol.py -f <memory_dump> --profile=<profile> sockets
Connections by process: vol.py -f <memory_dump> --profile=<profile> connscan -p <pid>

Registry Analysis

Registry hives: vol.py -f <memory_dump> --profile=<profile> hivelist
Dump registry: vol.py -f <memory_dump> --profile=<profile> printkey -o <offset>
UserAssist: vol.py -f <memory_dump> --profile=<profile> userassist

Timeline Analysis

Timeliner: vol.py -f <memory_dump> --profile=<profile> timeliner

Other Commands

API hooks: vol.py -f <memory_dump> --profile=<profile> apihooks
Driver modules: vol.py -f <memory_dump> --profile=<profile> modscan
SSDT: vol.py -f <memory_dump> --profile=<profile> ssdt
Handles: vol.py -f <memory_dump> --profile=<profile> handles
Privileges: vol.py -f <memory_dump> --profile=<profile> privs
Crashinfo: vol.py -f <memory_dump> --profile=<profile> crashinfo

Volatility Plugins

List available plugins: vol.py --info | grep -i <keyword>
Run a specific plugin: vol.py -f <memory_dump> --profile=<profile> <plugin_name>

#Get enabled privileges of some processes
volatility --profile=Win7SP1x86_23418 privs --pid=3152 -f file.dmp | grep Enabled
#Get all processes with interesting privileges
volatility --profile=Win7SP1x86_23418 privs -f file.dmp | grep "SeImpersonatePrivilege\|SeAssignPrimaryPrivilege\|SeTcbPrivilege\|SeBackupPrivilege\|SeRestorePrivilege\|SeCreateTokenPrivilege\|SeLoadDriverPrivilege\|SeTakeOwnershipPrivilege\|SeDebugPrivilege"

SIDs

Sprawdź każde SSID posiadane przez proces. Może być interesujące wymienić procesy korzystające z SID uprawnień (oraz procesy korzystające z pewnego SID usługi).

./vol.py -f file.dmp windows.getsids.GetSIDs [--pid <pid>] #Get SIDs of processes
./vol.py -f file.dmp windows.getservicesids.GetServiceSIDs #Get the SID of services

Metodologia analizy dumpa pamięci za pomocą narzędzia Volatility:

Zbieranie informacji o systemie:
- imageinfo: Pobierz podstawowe informacje o dumpie pamięci.
- kdbgscan: Znajdź adres Debug Data Block.
- dt: Wyświetl informacje o typach danych.
Analiza procesów:
- pslist: Wyświetl listę procesów.
- pstree: Wyświetl drzewo procesów.
- psscan: Skanuj procesy w poszukiwaniu ukrytych.
Analiza modułów:
- modlist: Wyświetl listę załadowanych modułów.
- modscan: Znajdź moduły w pamięci.
Analiza zasobów:
- handles: Wyświetl otwarte uchwyty.
- dlllist: Wyświetl listę załadowanych bibliotek.
Analiza rejestrów:
- hivelist: Wyświetl listę załadowanych plików rejestru.
- printkey: Wyświetl zawartość klucza rejestru.
Analiza sieci:
- netscan: Skanuj otwarte porty i połączenia sieciowe.
- connections: Wyświetl otwarte połączenia.
Analiza plików:
- filescan: Skanuj otwarte pliki.
- dumpfiles: Wyodrębnij pliki z dumpa pamięci.
Analiza zachowań:
- cmdscan: Wyświetl historię poleceń w procesach.
- consoles: Wyświetl otwarte konsoli.
Analiza rezydentów:
- ldrmodules: Wyświetl moduły rezydentne.
- driverirp: Analiza obiektów IRP sterowników.
Analiza wątków:
- threads: Wyświetl listę wątków.
- thrdscan: Skanuj wątki w poszukiwaniu ukrytych.
Analiza usług:
- svcscan: Wyświetl listę usług.
- svcscan -t: Wyświetl usługi typu kernel.
Analiza harmonogramu zadań:
- cmdline: Wyświetl listę zaplanowanych zadań.
- malfind: Znajdź podejrzane zachowania.
Analiza plików pamięci stronicowanej:
- memmap: Wyświetl mapowanie pamięci.
- memdump: Wyodrębnij plik pamięci stronicowanej.
Analiza wirtualnej pamięci:
- vadinfo: Wyświetl informacje o regionach pamięci.
- vaddump: Wyodrębnij zawartość regionu pamięci.
Analiza wstrzykiwania kodu:
- malfind: Znajdź podejrzane zachowania.
- apihooks: Wykryj hooki API.
Analiza rootkitów:
- ssdt: Wyświetl informacje o SSDT.
- callbacks: Wyświetl informacje o callbackach.
Analiza exploitów:
- gdt: Wyświetl deskryptory tablicy globalnej.
- idt: Wyświetl deskryptory tablicy przerwań.
Analiza bezpieczeństwa:
- malfind: Znajdź podejrzane zachowania.
- yarascan: Skanuj pamięć przy użyciu reguł YARA.
Analiza złośliwego oprogramowania:
- malfind: Znajdź podejrzane zachowania.
- yarascan: Skanuj pamięć przy użyciu reguł YARA.
Analiza ataków:
- malfind: Znajdź podejrzane zachowania.
- apihooks: Wykryj hooki API.
Analiza danych:
- bulk_extractor: Wyodrębnij dane z dumpa pamięci.
- hashdump: Wyświetl hasła z pamięci.
Analiza systemu plików:
- mftparser: Analiza MFT.
- usnparser: Analiza USN Journal.
Analiza logów:
- logonlist: Wyświetl listę logowań.
- userassist: Wyświetl informacje o aktywności użytkownika.
Analiza rejestru zdarzeń:
- hivedump: Wyodrębnij zawartość rejestru.
- printkey: Wyświetl zawartość klucza rejestru.
Analiza zabezpieczeń:
- getsids: Wyświetl informacje o SID.
- privs: Wyświetl informacje o uprawnieniach.
Analiza informacji o systemie:
- svcscan: Wyświetl listę usług.
- driverirp: Analiza obiektów IRP sterowników.
Analiza danych z rejestru:
- hivelist: Wyświetl listę załadowanych plików rejestru.
- printkey: Wyświetl zawartość klucza rejestru.
Analiza danych z plików:
- filescan: Skanuj otwarte pliki.
- dumpfiles: Wyodrębnij pliki z dumpa pamięci.
Analiza danych z sieci:
- netscan: Skanuj otwarte porty i połączenia sieciowe.
- connections: Wyświetl otwarte połączenia.
Analiza danych z procesów:
- cmdscan: Wyświetl historię poleceń w procesach.
- consoles: Wyświetl otwarte konsoli.
Analiza danych z modułów:
- modlist: Wyświetl listę załadowanych modułów.
- modscan: Znajdź moduły w pamięci.
Analiza danych z wątków:
- threads: Wyświetl listę wątków.
- thrdscan: Skanuj wątki w poszukiwaniu ukrytych.
Analiza danych z usług:
- svcscan: Wyświetl listę usług.
- svcscan -t: Wyświetl usługi typu kernel.
Analiza danych z harmonogramu zadań:
- cmdline: Wyświetl listę zaplanowanych zadań.
- malfind: Znajdź podejrzane zachowania.
Analiza danych z harmonogramu zadań:
- cmdline: Wyświetl listę zaplanowanych zadań.
- malfind: Znajdź podejrzane zachowania.
Analiza danych z harmonogramu zadań:
- cmdline: Wyświetl listę zaplanowanych zadań.
- malfind: Znajdź podejrzane zachowania.
Analiza danych z harmonogramu zadań:
- cmdline: Wyświetl listę zaplanowanych zadań.
- malfind: Znajdź podejrzane zachowania.
Analiza danych z harmonogramu zadań:
- cmdline: Wyświetl listę zaplanowanych zadań.
- malfind: Znajdź podejrzane zachowania.
Analiza danych z harmonogramu zadań:
- cmdline: Wyświetl listę zaplanowanych zadań.
- malfind: Znajdź podejrzane zachowania.
Analiza danych z harmonogramu zadań:
- cmdline: Wyświetl listę zaplanowanych zadań.
- malfind: Znajdź podejrzane zachowania.
Analiza danych z harmonogramu zadań:
- cmdline: Wyświetl listę zaplanowanych zadań.
- malfind: Znajdź podejrzane zachowania.
Analiza danych z harmonogramu zadań:
- cmdline: Wyświetl listę zaplanowanych zadań.
- malfind: Znajdź podejrzane zachowania.
Analiza danych z harmonogramu zadań:
- cmdline: Wyświetl listę zaplanowanych zadań.
- malfind: Znajdź podejrzane zachowania.
Analiza danych z harmonogramu zadań:
- cmdline: Wyświetl listę zaplanowanych zadań.
- malfind: Znajdź podejrzane zachowania.
Analiza danych z harmonogramu zadań:
- cmdline: Wyświetl listę zaplanowanych zadań.
- malfind: Znajdź podejrzane zachowania.
Analiza danych z harmonogramu zadań:
- cmdline: Wyświetl listę zaplanowanych zadań.
- malfind: Znajdź podejrzane zachowania.
Analiza danych z harmonogramu zadań:
- cmdline: Wyświetl listę zaplanowanych zadań.
- malfind: Znajdź podejrzane zachowania.
Analiza danych z harmonogramu zadań:
- cmdline: Wyświetl listę zaplanowanych zadań.
- malfind: Znajdź podejrzane zachowania.
Analiza danych z harmonogramu zadań:
- cmdline: Wyświetl listę zaplanowanych zadań.
- malfind: Znajdź podejrzane zachowania.
Analiza danych z harmonogramu zadań:
- cmdline: Wyświetl listę zaplanowanych zadań.
- malfind: Znajdź podejrzane zachowania.

volatility --profile=Win7SP1x86_23418 getsids -f file.dmp #Get the SID owned by each process
volatility --profile=Win7SP1x86_23418 getservicesids -f file.dmp #Get the SID of each service

Uchwyty

Przydatne do określenia, do których innych plików, kluczy, wątków, procesów... proces ma uchwyt (jest otwarty)

vol.py -f file.dmp windows.handles.Handles [--pid <pid>]

Wolatility Cheat Sheet

Basic Commands

Image info: vol.py -f <file> imageinfo
File scan: vol.py -f <file> filescan
Process list: vol.py -f <file> pslist
Connections: vol.py -f <file> connscan

Process Analysis

DLL list: vol.py -f <file> dlllist -p <pid>
Handles: vol.py -f <file> handles -p <pid>
PS tree: vol.py -f <file> pstree

Network Analysis

Sockets: vol.py -f <file> sockets
Connections: volfile> connscan

Memory Analysis

Vad Tree: vol.py -f <file> vadtree
Vad Tree (specific process): vol.py -f <file> vadtree -p <pid>
Strings: vol.py -f <file> strings -s

Malware Analysis

Yara scan: vol.py -f <file> yarascan --yara-rules <rules_file>

Registry Analysis

Print key: vol.py -f <file> printkey -K <key>
User Assist: vol.py -f <file> userassist

Plugin Management

List plugins: vol.py --info | grep -i <keyword>
Run plugin: vol.py -f <file> --profile=<profile> <plugin_name>

Other Useful Commands

Cache Dump: vol.py -f <file> cachedump
Hash Dump: vol.py -f <file> hashdump
SSDT: vol.py -f <file> ssdt
Driver Module: vol.py -f <file> moddump -D <driver_name>

volatility --profile=Win7SP1x86_23418 -f file.dmp handles [--pid=<pid>]

Biblioteki DLL

./vol.py -f file.dmp windows.dlllist.DllList [--pid <pid>] #List dlls used by each
./vol.py -f file.dmp windows.dumpfiles.DumpFiles --pid <pid> #Dump the .exe and dlls of the process in the current directory process

Wolatility Cheat Sheet

Basic Commands

Image info: vol.py -f <memory_dump> imageinfo
Running processes: vol.py -f <memory_dump> --profile=<profile> pslist
Dumping a process: vol.py -f <memory_dump> --profile=<profile> memdump -p <pid> -D <output_directory>
File scan: vol.py -f <memory_dump> --profile=<profile> filescan

Plugins

Check for rootkits: vol.py -f <memory_dump> --profile=<profile> malfind
Network connections: vol.py -f <memory_dump> --profile=<profile> netscan
Registry analysis: vol.py -f <memory_dump> --profile=<profile> printkey -K <registry_key>
Detecting hidden processes: vol.py -f <memory_dump> --profile=<profile> psxview

Volatility Profiles

List available profiles: vol.py --info | grep Profile
Specify profile: Add --profile=<profile> to commands

Memory Analysis

Identifying processes: vol.py -f <memory_dump> --profile=<profile> pslist
Checking process DLLs: vol.py -f <memory_dump> --profile=<profile> dlllist -p <pid>
Identifying process threads: vol.py -f <memory_dump> --profile=<profile> threads -p <pid>

Malware Analysis

Identifying injected code: vol.py -f <memory_dump> --profile=<profile> malfind
Analyzing process memory: vol.py -f <memory_dump> --profile=<profile> memmap -p <pid>
Detecting hidden processes: vol.py -f <memory_dump> --profile=<profile> psxview

Network Analysis

Checking network connections: vol.py -f <memory_dump> --profile=<profile> netscan
Analyzing network packets: vol.py -f <memory_dump> --profile=<profile> tcpip

File Analysis

Scanning for files: vol.py -f <memory_dump> --profile=<profile> filescan
Dumping files: vol.py -f <memory_dump> --profile=<profile> dumpfiles -Q <physical_offset> -D <output_directory>

Registry Analysis

Listing registry keys: vol.py -f <memory_dump> --profile=<profile> printkey -K <registry_key>
Dumping registry hives: vol.py -f <memory_dump> --profile=<profile> hivelist

volatility --profile=Win7SP1x86_23418 dlllist --pid=3152 -f file.dmp #Get dlls of a proc
volatility --profile=Win7SP1x86_23418 dlldump --pid=3152 --dump-dir=. -f file.dmp #Dump dlls of a proc

Ciągi znaków na procesy

Volatility pozwala nam sprawdzić, do którego procesu należy dany ciąg znaków.

strings file.dmp > /tmp/strings.txt
./vol.py -f /tmp/file.dmp windows.strings.Strings --strings-file /tmp/strings.txt

Wolatility Cheat Sheet

Volatility Installation

sudo apt-get install volatility

Basic Commands

Image info: volatility -f <memory_dump> imageinfo
Running processes: volatility -f <memory_dump> --profile=<profile> pslist
Dumping a process: volatility -f <memory_dump> --profile=<profile> memdump -p <pid> -D <output_directory>
Listing all processes: volatility -f <memory_dump> --profile=<profile> psscan
Dumping all processes: volatility -f <memory_dump> --profile=<profile> procdump -D <output_directory>
Network connections: volatility -f <memory_dump> --profile=<profile> connections
Registry analysis: volatility -f <memory_dump> --profile=<profile> hivelist
Recovering deleted files: volatility -f <memory_dump> --profile=<profile> filescan

Advanced Commands

Detecting rootkits: volatility -f <memory_dump> --profile=<profile> malfind
Analyzing DLLs: voljson -f <memory_dump> --profile=<profile> dlllist
Identifying injected code: volatility -f <memory_dump> --profile=<profile> malfind
Analyzing drivers: volatility -f <memory_dump> --profile=<profile> driverscan
Extracting registry hives: volatility -f <memory_dump> --profile=<profile> printkey -o <offset>
Analyzing process handles: volatility -f <memory_dump> --profile=<profile> handles

Memory Forensics

Identifying processes: Analyzing running processes to detect malicious activity.
Analyzing network connections: Identifying unauthorized network connections.
Recovering deleted files: Finding and recovering files that have been deleted.
Detecting rootkits: Identifying and analyzing rootkits in memory dumps.
Analyzing DLLs: Examining loaded DLLs for signs of malicious activity.
Identifying injected code: Detecting code injection in processes.
Analyzing drivers: Investigating loaded drivers for suspicious behavior.
Extracting registry hives: Extracting and analyzing registry hives for evidence.
Analyzing process handles: Examining process handles for signs of tampering.

References

```bash
strings file.dmp > /tmp/strings.txt
volatility -f /tmp/file.dmp windows.strings.Strings --string-file /tmp/strings.txt

volatility -f /tmp/file.dmp --profile=Win81U1x64 memdump -p 3532 --dump-dir .
strings 3532.dmp > strings_file

Pozwala również na wyszukiwanie ciągów znaków wewnątrz procesu za pomocą modułu yarascan:

./vol.py -f file.dmp windows.vadyarascan.VadYaraScan --yara-rules "https://" --pid 3692 3840 3976 3312 3084 2784
./vol.py -f file.dmp yarascan.YaraScan --yara-rules "https://"

Wolatility Cheat Sheet

Basic Commands

Image info: vol.py -f <memory_dump> imageinfo
Running processes: vol.py -f <memory_dump> --profile=<profile> pslist
Dumping a process: vol.py -f <memory_dump> --profile=<profile> memdump -p <pid> -D <output_directory>
File scan: vol.py -f <memory_dump> --profile=<profile> filescan

Malware Analysis

Malware scan: vol.py -f <memory_dump> --profile=<profile> malscan
YARA scan: vol.py -f <memory_dump> --profile=<profile> yarascan --yara-rules=<rules_file>

Network Analysis

Network connections: vol.py -f <memory_dump> --profile=<profile> connscan
Socket scan: vol.py -f <memory_dump> --profile=<profile> sockets
Packet extraction: vol.py -f <memory_dump> --profile=<profile> tcpstream -D <output_directory>

User Activity

Registry analysis: vol.py -f <memory_dump> --profile=<profile> printkey -K <key_path>
User login events: vol.py -f <memory_dump> --profile=<profile> userassist
Command history: vol.py -f <memory_dump> --profile=<profile> cmdscan

Rootkit Detection

SSDT hook detection: vol.py -f <memory_dump> --profile=<profile> ssdt
Hidden processes: vol.py -f <memory_dump> --profile=<profile> psxview
Hidden modules: vol.py -f <memory_dump> --profile=<profile> ldrmodules

Volatility Plugins

List available plugins: vol.py --info | grep <keyword>
Plugin usage: vol.py -f <memory_dump> --profile=<profile> <plugin_name>

Memory Dump Analysis

Identifying suspicious processes: Look for unknown processes, processes with no associated image file, or processes with suspicious names.
Analyzing network connections: Check for unusual network connections, connections to known malicious IPs, or connections on uncommon ports.
Examining registry entries: Look for suspicious or unauthorized registry changes, unfamiliar keys, or modifications to system-critical keys.
Reviewing user activity: Investigate abnormal user login/logout times, unusual commands executed, or unauthorized access to sensitive files.
Detecting rootkits: Search for discrepancies in system call tables, hidden processes, or modules that do not appear in standard listings.

References

volatility --profile=Win7SP1x86_23418 yarascan -Y "https://" -p 3692,3840,3976,3312,3084,2784

UserAssist

System Windows śledzi programy, które uruchamiasz, korzystając z funkcji rejestru o nazwie klucze UserAssist. Te klucze rejestru rejestrują, ile razy każdy program został uruchomiony i kiedy ostatnio był uruchamiany.

./vol.py -f file.dmp windows.registry.userassist.UserAssist

Podstawowa metodologia analizy dumpingu pamięci

Volatility Cheatsheet

Analiza dumpingu pamięci
- volatility -f <plik_dmp> imageinfo - Wyświetla informacje o profilu systemu operacyjnego.
- volatility -f <plik_dmp> pslist - Wyświetla listę procesów.
- volatility -f <plik_dmp> psscan - Skanuje procesy.
- volatility -f <plik_dmp> pstree - Wyświetla drzewo procesów.
- volatility -f <plik_dmp> dlllist - Wyświetla listę załadowanych bibliotek dynamicznych.
- volatility -f <plik_dmp> filescan - Skanuje deskryptory plików.
- volatility -f <plik_dmp> cmdline - Wyświetla argumenty wiersza poleceń procesów.
- volatility -f <plik_dmp> netscan - Skanuje otwarte połączenia sieciowe.
- volatility -f <plik_dmp> connections - Wyświetla listę połączeń sieciowych.
- volatility -f <plik_dmp> timeliner - Tworzy chronologię zdarzeń.
Analiza rejestru
- volatility -f <plik_dmp> hivelist - Wyświetla listę struktur rejestru.
- volatility -f <plik_dmp> printkey -o <offset> - Wyświetla zawartość klucza rejestru.
- volatility -f <plplik_dmp> userassist - Wyświetla informacje o aktywności użytkownika.
Analiza plików
- volatility -f <plik_dmp> filescan - Skanuje deskryptory plików.
- volatility -f <plik_dmp> dumpfiles -Q <adres> - Zapisuje plik z pamięci.
Analiza sieciowa
- volatility -f <plik_dmp> connscan - Skanuje połączenia sieciowe.
- volatility -f <plik_dmp> sockets - Wyświetla listę gniazd sieciowych.
Analiza zabezpieczeń
- volatility -f <plik_dmp> getsids - Wyświetla identyfikatory zabezpieczeń.
- volatility -f <plik_dmp> getservicesids - Wyświetla identyfikatory usług.
Analiza modułów jądra
- volatility -f <plik_dmp> modules - Wyświetla listę załadowanych modułów jądra.
- volatility -f <plik_dmp> modscan - Skanuje moduły jądra.
Analiza procesów
- volatility -f <plik_dmp> pslist - Wyświetla listę procesów.
- volatility -f <plik_dmp> psscan - Skanuje procesy.
- volatility -f <plik_dmp> pstree - Wyświetla drzewo procesów.
- volatility -f <plik_dmp> cmdline - Wyświetla argumenty wiersza poleceń procesów.
Analiza wirtualnej pamięci
- volatility -f <plik_dmp> memmap - Wyświetla mapowanie pamięci.
- volatility -f <plik_dmp> memdump -p <pid> -D <katalog_docelowy> - Tworzy dump pamięci procesu.
Analiza systemu plików
- volatility -f <plik_dmp> mftparser - Analizuje Master File Table (MFT).
- volatility -f <plik_dmp> filescan - Skanuje deskryptory plików.
Analiza harmonogramu zadań
- volatility -f <plik_dmp> malfind - Wykrywa podejrzane procesy i moduły.
- volatility -f <plik_dmp> svcscan - Skanuje usługi.
- volatility -f <plik_dmp> netscan - Skanuje otwarte połączenia sieciowe.
Analiza harmonogramu zadań
- volatility -f <plik_dmp> malfind - Wykrywa podejrzane procesy i moduły.
- volatility -f <plik_dmp> svcscan - Skanuje usługi.
- volatility -f <plik_dmp> netscan - Skanuje otwarte połączenia sieciowe.
Analiza harmonogramu zadań
- volatility -f <plik_dmp> malfind - Wykrywa podejrzane procesy i moduły.
- volatility -f <plik_dmp> svcscan - Skanuje usługi.
- volatility -f <plik_dmp> netscan - Skanuje otwarte połączenia sieciowe.
Analiza harmonogramu zadań
- volatility -f <plik_dmp> malfind - Wykrywa podejrzane procesy i moduły.
- volatility -f <plik_dmp> svcscan - Skanuje usługi.
- volatility -f <plik_dmp> netscan - Skanuje otwarte połączenia sieciowe.
Analiza harmonogramu zadań
- volatility -f <plik_dmp> malfind - Wykrywa podejrzane procesy i moduły.
- volatility -f <plik_dmp> svcscan - Skanuje usługi.
- volatility -f <plik_dmp> netscan - Skanuje otwarte połączenia sieciowe.
Analiza harmonogramu zadań
- volatility -f <plik_dmp> malfind - Wykrywa podejrzane procesy i moduły.
- volatility -f <plik_dmp> svcscan - Skanuje usługi.
- volatility -f <plik_dmp> netscan - Skanuje otwarte połączenia sieciowe.
Analiza harmonogramu zadań
- volatility -f <plik_dmp> malfind - Wykrywa podejrzane procesy i moduły.
- volatility -f <plik_dmp> svcscan - Skanuje usługi.
- volatility -f <plik_dmp> netscan - Skanuje otwarte połączenia sieciowe.
Analiza harmonogramu zadań
- volatility -f <plik_dmp> malfind - Wykrywa podejrzane procesy i moduły.
- volatility -f <plik_dmp> svcscan - Skanuje usługi.
- volatility -f <plik_dmp> netscan - Skanuje otwarte połączenia sieciowe.
Analiza harmonogramu zadań
- volatility -f <plik_dmp> malfind - Wykrywa podejrzane procesy i moduły.
- volatility -f <plik_dmp> svcscan - Skanuje usługi.
- volatility -f <plik_dmp> netscan - Skanuje otwarte połączenia sieciowe.
Analiza harmonogramu zadań
- volatility -f <plik_dmp> malfind - Wykrywa podejrzane procesy i moduły.
- volatility -f <plik_dmp> svcscan - Skanuje usługi.
- volatility -f <plik_dmp> netscan - Skanuje otwarte połączenia sieciowe.
Analiza harmonogramu zadań
- volatility -f <plik_dmp> malfind - Wykrywa podejrzane procesy i moduły.
- volatility -f <plik_dmp> svcscan - Skanuje usługi.
- volatility -f <plik_dmp> netscan - Skanuje otwarte połączenia sieciowe.

volatility --profile=Win7SP1x86_23418 -f file.dmp userassist

RootedCONRootedCON

Usługi

./vol.py -f file.dmp windows.svcscan.SvcScan #List services
./vol.py -f file.dmp windows.getservicesids.GetServiceSIDs #Get the SID of services

Wolatility Cheat Sheet

Volatility Installation

sudo apt install volatility

Basic Commands

Image info: volatility -f <memory_dump> imageinfo
Running processes: volatility -f <memory_dump> --profile=<profile> pslist
Dumping a process: volatility -f <memory_dump> --profile=<profile> memdump -p <pid> -D <output_directory>
Listing all processes: volatility -f <memory_dump> --profile=<profile> psscan

Plugins

Check for rootkits: volatility -f <memory_dump> --profile=<profile> linux_check_afinfo
Network connections: volatility -f <memory_dump> --profile=<profile> linux_netstat

Memory Analysis

Identifying malicious processes: Look for suspicious processes with abnormal names or parent-child relationships.
Identifying network connections: Check for any unusual network connections or connections to known malicious IPs.
Identifying rootkits: Use volatility plugins to scan for rootkits and suspicious kernel modules.

References

```bash
#Get services and binary path
volatility --profile=Win7SP1x86_23418 svcscan -f file.dmp
#Get name of the services and SID (slow)
volatility --profile=Win7SP1x86_23418 getservicesids -f file.dmp

Sieć

./vol.py -f file.dmp windows.netscan.NetScan
#For network info of linux use volatility2

Wolatility Cheat Sheet

Basic Commands

imageinfo: Identify information about the profile.
pslist: List running processes.
pstree: Display a tree view of processes.
psscan: Scan physical memory for processes.
dlllist: List DLLs loaded by each process.
handles: List open handles for each process.
filescan: Scan for file handles in memory.
svcscan: Identify Windows services.
connscan: List open network connections.
cmdline: Display process command-line arguments.
malfind: Find hidden and injected code.
ldrmodules: Detect unlinked DLLs.
apihooks: Detect userland API hooks.
callbacks: Detect kernel callbacks.
devicetree: Display the device tree.
driverirp: Detect IRP handlers.
modscan: Find and dump kernel modules.
ssdt: Display the System Service Descriptor Table.
idt: Display the Interrupt Descriptor Table.
gdt: Display the Global Descriptor Table.
getsids: List Security IDs (SIDs).
privs: Display process privileges.
privs: Display process privileges.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind: Find hidden and injected code.
malfind:

volatility --profile=Win7SP1x86_23418 netscan -f file.dmp
volatility --profile=Win7SP1x86_23418 connections -f file.dmp#XP and 2003 only
volatility --profile=Win7SP1x86_23418 connscan -f file.dmp#TCP connections
volatility --profile=Win7SP1x86_23418 sockscan -f file.dmp#Open sockets
volatility --profile=Win7SP1x86_23418 sockets -f file.dmp#Scanner for tcp socket objects

volatility --profile=SomeLinux -f file.dmp linux_ifconfig
volatility --profile=SomeLinux -f file.dmp linux_netstat
volatility --profile=SomeLinux -f file.dmp linux_netfilter
volatility --profile=SomeLinux -f file.dmp linux_arp #ARP table
volatility --profile=SomeLinux -f file.dmp linux_list_raw #Processes using promiscuous raw sockets (comm between processes)
volatility --profile=SomeLinux -f file.dmp linux_route_cache

Rejestr hive

Wyświetl dostępne hives

./vol.py -f file.dmp windows.registry.hivelist.HiveList #List roots
./vol.py -f file.dmp windows.registry.printkey.PrintKey #List roots and get initial subkeys

Podstawowa metodologia analizy pamięci

Skróty klawiszowe Volatility

-f - ścieżka do pliku obrazu pamięci
imageinfo - informacje o obrazie pamięci
kdbgscan - skanowanie obrazu pamięci w poszukiwaniu struktury danych debugowania jądra
pslist - listuje procesy
pstree - drzewo procesów
psscan - skanuje procesy
dlllist - listuje załadowane biblioteki dynamiczne
handles - listuje otwarte uchwyty
filescan - skanuje załadowane pliki
cmdline - wyświetla argumenty wiersza poleceń procesu
consoles - listuje otwarte konsoli
vadinfo - informacje o regionach pamięci
vadtree - drzewo regionów pamięci
malfind - znajduje podejrzane procesy
apihooks - znajduje hooki API
ldrmodules - listuje moduły załadowane przez proces
svcscan - skanuje usługi
connections - listuje otwarte połączenia
connscan - skanuje połączenia
sockets - listuje otwarte gniazda
sockscan - skanuje gniazda
modscan - skanuje moduły jądra
callbacks - listuje zarejestrowane wywołania zwrotne
driverirp - analiza IRP sterowników
devicetree - drzewo urządzeń
printkey - wyświetla zawartość klucza rejestru
privs - listuje prawa procesu
getsids - listuje identyfikatory zabezpieczeń
hivelist - listuje listę załadowanych plików rejestru
hashdump - wydobywa hasła z pamięci
memmap - mapuje pamięć
memdump - wyciąga obszar pamięci
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
malfind - znajduje podejrzane procesy
`m

volatility --profile=Win7SP1x86_23418 -f file.dmp hivelist #List roots
volatility --profile=Win7SP1x86_23418 -f file.dmp printkey #List roots and get initial subkeys

Pobierz wartość

./vol.py -f file.dmp windows.registry.printkey.PrintKey --key "Software\Microsoft\Windows NT\CurrentVersion"

Wolatility Cheat Sheet

Basic Commands

Image info: vol.py -f <memory_dump> imageinfo
Running processes: vol.py -f <memory_dump> --profile=<profile> pslist
Dumping a process: vol.py -f <memory_dump> --profile=<profile> memdump -p <pid> -D <output_directory>
File scan: vol.py -f <memory_dump> --profile=<profile> filescan

Plugins

Check for rootkits: vol.py -f <memory_dump> --profile=<profile> malfind
Network connections: vol.py -f <memory_dump> --profile=<profile> netscan
Registry analysis: vol.py -f <memory_dump> --profile=<profile> printkey -K <registry_key>
Detecting hidden processes: vol.py -f <memory_dump> --profile=<profile> psxview

Memory Analysis

Identifying injected code: vol.py -f <memory_dump> --profile=<profile> malfind
Analyzing DLLs: vol.py -f <memory_dump> --profile=<profile> dlllist
Identifying sockets: vol.py -f <memory_dump> --profile=<profile> sockscan

User Analysis

Listing users: vol.py -f <memory_dump> --profile=<profile> getsids
Extracting user credentials: vol.py -f <memory_dump> --profile=<profile> hashdump

Timeline Analysis

Listing processes: vol.py -f <memory_dump> --profile=<profile> pstree
Analyzing process timelines: volmemory_dump> --profile=<profile> psscan

Malware Analysis

Detecting injected threads: vol.py -f <memory_dump> --profile=<profile> ldrmodules
Analyzing API hooks: vol.py -f <memory_dump> --profile=<profile> apihooks

volatility --profile=Win7SP1x86_23418 printkey -K "Software\Microsoft\Windows NT\CurrentVersion" -f file.dmp
# Get Run binaries registry value
volatility -f file.dmp --profile=Win7SP1x86 printkey -o 0x9670e9d0 -K 'Software\Microsoft\Windows\CurrentVersion\Run'

Zrzut pamięci

#Dump a hive
volatility --profile=Win7SP1x86_23418 hivedump -o 0x9aad6148 -f file.dmp #Offset extracted by hivelist
#Dump all hives
volatility --profile=Win7SP1x86_23418 hivedump -f file.dmp

System plików

Montowanie

#See vol2

Wolatility Cheat Sheet

Basic Commands

Image info: vol.py -f <memory_dump> imageinfo
Running processes: vol.py -f <memory_dump> --profile=<profile> pslist
Dumping a process: vol.py -f <memory_dump> --profile=<profile> procdump -p <pid> -D <output_directory>
File scan: vol.py -f <memory_dump> --profile=<profile> filescan

Plugins

Check for rootkits: vol.py -f <memory_dump> --profile=<profile> malfind
Network connections: vol.py -f <memory_dump> --profile=<profile> netscan
Registry analysis: vol.py -f <memory_dump> --profile=<profile> printkey -K <registry_key>
Detecting hidden processes: vol.py -f <memory_dump> --profile=<profile> psxview

Memory Analysis

Identifying injected code: vol.py -f <memory_dump> --profile=<profile> malfind
Analyzing DLLs: vol.py -f <memory_dump> --profile=<profile> dlllist
Finding open sockets: vol.py -f <memory_dump> --profile=<profile> sockscan

Additional Resources

References

volatility --profile=SomeLinux -f file.dmp linux_mount
volatility --profile=SomeLinux -f file.dmp linux_recover_filesystem #Dump the entire filesystem (if possible)

Skanowanie/dumpowanie

./vol.py -f file.dmp windows.filescan.FileScan #Scan for files inside the dump
./vol.py -f file.dmp windows.dumpfiles.DumpFiles --physaddr <0xAAAAA> #Offset from previous command

## Podstawowa metodologia analizy dumpingu pamięci

Skróty klawiszowe Volatility

imageinfo - Informacje o obrazie pamięci
kdbgscan - Skanowanie KDBG
pslist - Lista procesów
pstree - Drzewo procesów
dlllist - Lista bibliotek DLL
handles - Lista uchwytów
filescan - Skanowanie plików
cmdline - Linia poleceń
psscan - Skanowanie procesów
netscan - Skanowanie sieci
connections - Lista połączeń
sockets - Lista gniazd
svcscan - Skanowanie usług
modscan - Skanowanie modułów
malfind - Znajdowanie podejrzanych procesów
yarascan - Skanowanie YARA
dumpfiles - Zrzucanie plików
dumpregistry - Zrzucanie rejestru
dlldump - Zrzucanie bibliotek DLL
memdump - Zrzucanie pamięci
hashdump - Zrzucanie haseł
hivelist - Lista struktur rejestru
printkey - Wyświetlanie klucza rejestru
fileinfo - Informacje o pliku
vadinfo - Informacje o VAD
vaddump - Zrzucanie VAD
vadtree - Drzewo VAD
vadwalk - Przechodzenie VAD
callbacks - Lista wywołań zwrotnych
devicetree - Drzewo urządzeń
driverirp - Analiza IRP sterownika
ssdt - Wyświetlanie SSDT
gdt - Wyświetlanie GDT
idt - Wyświetlanie IDT
ldrmodules - Lista modułów ładowania
drivermodules - Lista modułów sterownika
modules - Lista modułów
moddump - Zrzucanie modułów
atomscan - Skanowanie atomów
atomtable - Wyświetlanie tabeli atomów
atomstrings - Wyświetlanie ciągów atomów
ssdeep - Porównywanie SSDEEP
impscan - Skanowanie importów
apihooks - Wykrywanie haków API
callbacks - Lista wywołań zwrotnych
mutantscan - Skanowanie mutacji
deskscan - Skanowanie pulpitów
wndscan - Skanowanie okien
thrdscan - Skanowanie wątków
ldrmodules - Lista modułów ładowania

volatility --profile=Win7SP1x86_23418 filescan -f file.dmp #Scan for files inside the dump
volatility --profile=Win7SP1x86_23418 dumpfiles -n --dump-dir=/tmp -f file.dmp #Dump all files
volatility --profile=Win7SP1x86_23418 dumpfiles -n --dump-dir=/tmp -Q 0x000000007dcaa620 -f file.dmp

volatility --profile=SomeLinux -f file.dmp linux_enumerate_files
volatility --profile=SomeLinux -f file.dmp linux_find_file -F /path/to/file
volatility --profile=SomeLinux -f file.dmp linux_find_file -i 0xINODENUMBER -O /path/to/dump/file

MFT - Master File Table

# I couldn't find any plugin to extract this information in volatility3

Podstawowa metodologia analizy pamięci

Skróty klawiszowe Volatility

vol.py -f <dumpfile> imageinfo - Wyświetla informacje o obrazie pamięci.
vol.py -f <dumpfile> --profile=<profile> pslist - Wyświetla listę procesów.
vol.py -f <dumpfile> --profile=<profile> psscan - Skanuje procesy.
vol.py -f <dumpfile> --profile=<profile> pstree - Wyświetla drzewo procesów.
vol.py -f <dumpfile> --profile=<profile> dlllist -p <pid> - Wyświetla listę załadowanych bibliotek dla określonego procesu.
vol.py -f <dumpfile> --profile=<profile> cmdline -p <pid> - Wyświetla polecenie wiersza poleceń dla określonego procesu.
vol.py -f <dumpfile> --profile=<profile> filescan - Skanuje pliki otwarte przez procesy.
vol.py -f <dumpfile> --profile=<profile> connscan - Skanuje otwarte połączenia sieciowe.
vol.py -f <dumpfile> --profile=<profile> netscan - Skanuje informacje o sieci.
vol.py -f <dumpfile> --profile=<profile> malfind - Wykrywa podejrzane procesy.
vol.py -f <dumpfile> --profile=<profile> yarascan - Skanuje pamięć przy użyciu reguł YARA.
vol.py -f <dumpfile> --profile=<profile> memdump -p <pid> -D <output_directory> - Tworzy plik zrzutu pamięci dla określonego procesu.
vol.py -f <dumpfile> --profile=<profile> memmap - Wyświetla mapowanie pamięci.
vol.py -f <dumpfile> --profile=<profile> modscan - Skanuje moduły jądra.
vol.py -f <dumpfile> --profile=<profile> getsids - Wyświetla identyfikatory zabezpieczeń.
vol.py -f <dumpfile> --profile=<profile> hivelist - Wyświetla listę załadowanych plików rejestru.
vol.py -f <dumpfile> --profile=<profile> printkey -o <offset> - Wyświetla zawartość klucza rejestru.
vol.py -f <dumpfile> --profile=<profile> userassist - Wyświetla wpisy UserAssist.
vol.py -f <dumpfile> --profile=<profile> shimcache - Wyświetla zawartość pamięci podręcznej ShimCache.
vol.py -f <dumpfile> --profile=<profile> ldrmodules - Wyświetla listę załadowanych modułów.
vol.py -f <dumpfile> --profile=<profile> apihooks - Wyświetla hooki API.
vol.py -f <dumpfile> --profile=<profile> callbacks - Wyświetla hooki zwrotne.
vol.py -f <dumpfile> --profile=<profile> svcscan - Skanuje usługi.
vol.py -f <dumpfile> --profile=<profile> driverirp - Analizuje IRP dla sterowników.
vol.py -f <dumpfile> --profile=<profile> ssdt - Wyświetla informacje o SSDT.
vol.py -f <dumpfile> --profile=<profile> idt - Wyświetla informacje o IDT.
vol.py -f <dumpfile> --profile=<profile> gdt - Wyświetla informacje o GDT.
vol.py -f <dumpfile> --profile=<profile> threads - Wyświetla listę wątków.
vol.py -f <dumpfile> --profile=<profile> handles - Wyświetla listę uchwytów.
vol.py -f <dumpfile> --profile=<profile> mutantscan - Skanuje mutanty.
vol.py -f <dumpfile> --profile=<profile> envars - Wyświetla zmienne środowiskowe.
vol.py -f <dumpfile> --profile=<profile> consoles - Wyświetla informacje o konsolach.
vol.py -f <dumpfile> --profile=<profile> desktops - Wyświetla informacje o pulpitach.
vol.py -f <dumpfile> --profile=<profile> atomscan - Skanuje atomy.
vol.py -f <dumpfile> --profile=<profile> timers - Wyświetla listę timerów.
vol.py -f <dumpfile> --profile=<profile> svcscan - Skanuje usługi.
vol.py -f <dumpfile> --profile=<profile> devicetree - Wyświetla drzewo urządzeń.
vol.py -f <dumpfile> --profile=<profile> devicetree -t - Wyświetla drzewo urządzeń w formacie tekstowym.
vol.py -f <dumpfile> --profile=<profile> devicetree -o <output_directory> - Zapisuje drzewo urządzeń do określonego katalogu.
vol.py -f <dumpfile> --profile=<profile> modules - Wyświetla informacje o modułach.
vol.py -f <dumpfile> --profile=<profile> moddump -b <base_address> -D <output_directory> - Tworzy plik zrzutu pamięci dla określonego modułu.
vol.py -f <dumpfile> --profile=<profile> modscan - Skanuje moduły jądra.
vol.py -f <dumpfile> --profile=<profile> modscan -b <base_address> - Skanuje moduły jądra z określonym adresem bazowym.
vol.py -f <dumpfile> --profile=<profile> modscan -v - Skanuje moduły jądra i wyświetla dodatkowe informacje.
vol.py -f <dumpfile> --profile=<profile> moddump -b <base_address> -D <output_directory> - Tworzy plik zrzutu pamięci dla określonego modułu.
vol.py -f <dumpfile> --profile=<profile> moddump -b <base_address> -p <pid> -D <output_directory> - Tworzy plik zrzutu pamięci dla określonego modułu i procesu.
vol.py -f <dumpfile> --profile=<profile> moddump -b <base_address> --name <module_name> -D <output_directory> - Tworzy plik zrzutu pamięci dla określonego modułu na podstawie nazwy modułu.
vol.py -f <dumpfile> --profile=<profile> moddump -b <base_address> --name <module_name> -p <pid> -D <output_directory> - Tworzy plik zrzutu pamięci dla określonego modułu na podstawie nazwy modułu i procesu.
vol.py -f <dumpfile> --profile=<profile> moddump -b <base_address> --name <module_name> -p <pid> --dump - Tworzy plik zrzutu pamięci dla określonego modułu na podstawie nazwy modułu i procesu, a następnie wyświetla jego zawartość.
vol.py -f <dumpfile> --profile=<profile> moddump -b <base_address> --name <module_name> -p <pid> --dump -D <output_directory> - Twjsonie plik zrzutu pamięci dla określonego modułu na podstawie nazwy modułu i procesu, a następnie zapisuje go do określonego katalogu.
vol.py -f <dumpfile> --profile=<profile> moddump -b <base_address> --name <module_name> -p <pid> --dump -D <output_directory> --dump-dir - Tworzy plik zrzutu pamięci dla określonego modułu na podstawie nazwy modułu i procesu, a następnie zapisuje go do określonego katalogu, zachowując strukturę katalogów modułów.
vol.py -f <dumpfile> --profile=<profile> moddump -b <base_address> --name <module_name> -p <pid> --dump -D <output_directory> --dump-dir --dump-ext - Tworzy plik zrzutu pamięci dla określonego modułu na podstawie nazwy modułu i procesu, a następnie zapisuje go do określonego katalogu, zachowując strukturę katalogów modułów i dodając rozszerzenie pliku.
vol.py -f <dumpfile> --profile=<profile> moddump -b <base_address> --name <module_name> -p <pid> --dump -D <output_directory> --dump-dir --dump-ext --dump-ext - Tworzy plik zrzutu pamięci dla określonego modułu na podstawie nazwy modułu i procesu, a następnie zapisuje go do określonego katalogu, zachowując strukturę katalogów modułów i dodając rozszerzenie pliku.
vol.py -f <dumpfile> --profile=<profile> moddump -b <base_address> --name <module_name> -p <pid> --dump -D <output_directory> --dump-dir --dump-ext --dump-ext --dump-ext - Tworzy plik zrzutu pamięci dla określonego modułu na podstawie nazwy modułu i procesu, a następnie zapisuje go do określonego katalogu, zachowując strukturę katalogów modułów i dodając rozszerzenie pliku.
vol.py -f <dumpfile> --profile=<profile> moddump -b <base_address> --name <module_name> -p <pid> --dump -D <output_directory> --dump-dir --dump-ext --dump-ext --dump-ext --dump-ext - Tworzy plik zrzutu pamięci dla określonego modułu na podstawie nazwy modułu i procesu, a następnie zapisuje go do określonego katalogu, zachowując strukturę katalogów modułów i dodając rozszerzenie pliku.
vol.py -f <dumpfile> --profile=<profile> moddump -b <base_address> --name <module_name> -p <pid> --dump -D <output_directory> --dump-dir --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext - Tworzy plik zrzutu pamięci dla określonego modułu na podstawie nazwy modułu i procesu, a następnie zapisuje go do określonego katalogu, zachowując strukturę katalogów modułów i dodając rozszerzenie pliku.
vol.py -f <dumpfile> --profile=<profile> moddump -b <base_address> --name <module_name> -p <pid> --dump -D <output_directory> --dump-dir --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext - Tworzy plik zrzutu pamięci dla określonego modułu na podstawie nazwy modułu i procesu, a następnie zapisuje go do określonego katalogu, zachowując strukturę katalogów modułów i dodając rozszerzenie pliku.
vol.py -f <dumpfile> --profile=<profile> moddump -b <base_address> --name <module_name> -p <pid> --dump -D <output_directory> --dump-dir --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext - Tworzy plik zrzutu pamięci dla określonego modułu na podstawie nazwy modułu i procesu, a następnie zapisuje go do określonego katalogu, zachowując strukturę katalogów modułów i dodając rozszerzenie pliku.
vol.py -f <dumpfile> --profile=<profile> moddump -b <base_address> --name <module_name> -p <pid> --dump -D <output_directory> --dump-dir --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext - Tworzy plik zrzutu pamięci dla określonego modułu na podstawie nazwy modułu i procesu, a następnie zapisuje go do określonego katalogu, zachowując strukturę katalogów modułów i dodając rozszerzenie pliku.
vol.py -f <dumpfile> --profile=<profile> moddump -b <base_address> --name <module_name> -p <pid> --dump -D <output_directory> --dump-dir --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext - Tworzy plik zrzutu pamięci dla określonego modułu na podstawie nazwy modułu i procesu, a następnie zapisuje go do określonego katalogu, zachowując strukturę katalogów modułów i dodając rozszerzenie pliku.
vol.py -f <dumpfile> --profile=<profile> moddump -b <base_address> --name <module_name> -p <pid> --dump -D <output_directory> --dump-dir --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext - Tworzy plik zrzutu pamięci dla określonego modułu na podstawie nazwy modułu i procesu, a następnie zapisuje go do określonego katalogu, zachowując strukturę katalogów modułów i dodając rozszerzenie pliku.
vol.py -f <dumpfile> --profile=<profile> moddump -b <base_address> --name <module_name> -p <pid> --dump -D <output_directory> --dump-dir --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext - Tworzy plik zrzutu pamięci dla określonego modułu na podstawie nazwy modułu i procesu, a następnie zapisuje go do określonego katalogu, zachowując strukturę katalogów modułów i dodając rozszerzenie pliku.
vol.py -f <dumpfile> --profile=<profile> moddump -b <base_address> --name <module_name> -p <pid> --dump -D <output_directory> --dump-dir --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext - Tworzy plik zrzutu pamięci dla określonego modułu na podstawie nazwy modułu i procesu, a następnie zapisuje go do określonego katalogu, zachowując strukturę katalogów modułów i dodając rozszerzenie pliku.
vol.py -f <dumpfile> --profile=<profile> moddump -b <base_address> --name <module_name> -p <pid> --dump -D <output_directory> --dump-dir --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext - Tworzy plik zrzutu pamięci dla określonego modułu na podstawie nazwy modułu i procesu, a następnie zapisuje go do określonego katalogu, zachowując strukturę katalogów modułów i dodając rozszerzenie pliku.
vol.py -f <dumpfile> --profile=<profile> moddump -b <base_address> --name <module_name> -p <pid> --dump -D <output_directory> --dump-dir --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext --dump-ext - Tworzy plik zrzutu pamię

volatility --profile=Win7SP1x86_23418 mftparser -f file.dmp

System plików NTFS wykorzystuje istotny komponent znany jako master file table (MFT). Ta tabela zawiera co najmniej jedno wpis dla każdego pliku na woluminie, obejmując również samą MFT. Istotne szczegóły dotyczące każdego pliku, takie jak rozmiar, znaczniki czasu, uprawnienia i rzeczywiste dane, są zawarte w wpisach MFT lub w obszarach zewnętrznych w odniesieniu do tych wpisów. Więcej szczegółów można znaleźć w oficjalnej dokumentacji.

Klucze/Certyfikaty SSL

#vol3 allows to search for certificates inside the registry
./vol.py -f file.dmp windows.registry.certificates.Certificates

Wolatility Cheat Sheet

Volatility Installation

sudo apt-get install volatility

Basic Commands

Image info: volatility -f <memory_dump> imageinfo
List processes: volatility -f <memory_dump> --profile=<profile> pslist
Dump process: volatility -f <memory_dump> --profile=<profile> memdump -p <pid> -D <output_directory>
File scan: volatility -f <memory_dump> --profile=<profile> filescan

Advanced Commands

Yara scan: volatility -f <memory_dump> --profile=<profile> yarascan --yara-file=<rules_file>
Dump registry: volatility -f <memory_dump> --profile=<profile> printkey -o <output_directory> -K <key>
Network connections: volatility -f <memory_dump> --profile=<profile> connections
Command history: volatility -f <memory_dump> --profile=<profile> cmdscan

Plugins

Volatility plugins: https://github.com/volatilityfoundation/volatility/wiki/Command-Reference

```bash
#vol2 allos you to search and dump certificates from memory
#Interesting options for this modules are: --pid, --name, --ssl
volatility --profile=Win7SP1x86_23418 dumpcerts --dump-dir=. -f file.dmp

Malware

./vol.py -f file.dmp windows.malfind.Malfind [--dump] #Find hidden and injected code, [dump each suspicious section]
#Malfind will search for suspicious structures related to malware
./vol.py -f file.dmp windows.driverirp.DriverIrp #Driver IRP hook detection
./vol.py -f file.dmp windows.ssdt.SSDT #Check system call address from unexpected addresses

./vol.py -f file.dmp linux.check_afinfo.Check_afinfo #Verifies the operation function pointers of network protocols
./vol.py -f file.dmp linux.check_creds.Check_creds #Checks if any processes are sharing credential structures
./vol.py -f file.dmp linux.check_idt.Check_idt #Checks if the IDT has been altered
./vol.py -f file.dmp linux.check_syscall.Check_syscall #Check system call table for hooks
./vol.py -f file.dmp linux.check_modules.Check_modules #Compares module list to sysfs info, if available
./vol.py -f file.dmp linux.tty_check.tty_check #Checks tty devices for hooks

Wolatility Cheat Sheet

Volatility Installation

sudo apt-get install volatility

Basic Commands

Image info: volatility -f <memory_dump> imageinfo
Running processes: volatility -f <memory_dump> --profile=<profile> pslist
Dumping a process: volatility -f <memory_dump> --profile=<profile> memdump -p <pid> -D <output_directory>
Listing all processes: volatility -f <memory_dump> --profile=<profile> psscan
Dumping all processes: volatility -f <memory_dump> --profile=<profile> procdump -D <output_directory>
Network connections: volatility -f <memory_dump> --profile=<profile> connections
Registry analysis: volatility -f <memory_dump> --profile=<profile> hivelist
Recovering deleted files: volatility -f <memory_dump> --profile=<profile> filescan

Plugins

Malware analysis: malfind
Rootkit detection: rootkit
Dumping DLLs: dlldump
Command history: cmdscan
UserAssist analysis: userassist
Dumping registry hives: hivelist
API hook detection: apihooks
Finding hidden processes: psxview
Detecting injected code: malfind
Dumping process memory: memmap

Memory Analysis

Identifying malicious processes: Look for suspicious processes with no associated executable or with strange names.
Detecting rootkits: Use plugins like rootkit to identify hidden processes and malicious activities.
Analyzing network connections: Check for any unusual network connections or suspicious activities.
Recovering deleted files: Use filescan to identify and potentially recover deleted files from memory dumps.

References

volatility --profile=Win7SP1x86_23418 -f file.dmp malfind [-D /tmp] #Find hidden and injected code [dump each suspicious section]
volatility --profile=Win7SP1x86_23418 -f file.dmp apihooks #Detect API hooks in process and kernel memory
volatility --profile=Win7SP1x86_23418 -f file.dmp driverirp #Driver IRP hook detection
volatility --profile=Win7SP1x86_23418 -f file.dmp ssdt #Check system call address from unexpected addresses

volatility --profile=SomeLinux -f file.dmp linux_check_afinfo
volatility --profile=SomeLinux -f file.dmp linux_check_creds
volatility --profile=SomeLinux -f file.dmp linux_check_fop
volatility --profile=SomeLinux -f file.dmp linux_check_idt
volatility --profile=SomeLinux -f file.dmp linux_check_syscall
volatility --profile=SomeLinux -f file.dmp linux_check_modules
volatility --profile=SomeLinux -f file.dmp linux_check_tty
volatility --profile=SomeLinux -f file.dmp linux_keyboard_notifiers #Keyloggers

Skanowanie za pomocą yara

Użyj tego skryptu do pobrania i scalenia wszystkich reguł malware yara z github: https://gist.github.com/andreafortuna/29c6ea48adf3d45a979a78763cdc7ce9 Utwórz katalog rules i wykonaj go. Spowoduje to utworzenie pliku o nazwie malware_rules.yar, który zawiera wszystkie reguły yara dla malware.

wget https://gist.githubusercontent.com/andreafortuna/29c6ea48adf3d45a979a78763cdc7ce9/raw/4ec711d37f1b428b63bed1f786b26a0654aa2f31/malware_yara_rules.py
mkdir rules
python malware_yara_rules.py
#Only Windows
./vol.py -f file.dmp windows.vadyarascan.VadYaraScan --yara-file /tmp/malware_rules.yar
#All
./vol.py -f file.dmp yarascan.YaraScan --yara-file /tmp/malware_rules.yar

Wolatility Cheat Sheet

Basic Commands

Image info: vol.py -f <memory_dump> imageinfo
Running processes: vol.py -f <memory_dump> --profile=<profile> pslist
Dump process: vol.py -f <memory_dump> --profile=<profile> memdump -p <pid> -D <output_directory>
File scan: vol.py -f <memory_dump> --profile=<profile> filescan

Plugins

Check for rootkits: vol.py -f <memory_dump> --profile=<profile> malfind
Network connections: vol.py -f <memory_dump> --profile=<profile> netscan
Registry analysis: vol.py -f <memory_dump> --profile=<profile> printkey -K <registry_key>
Detect hidden processes: vol.py -f <memory_dump> --profile=<profile> psxview

Volatility GUI

Launch GUI: vol.py -f <memory_dump> --profile=<profile> --output-file=<output_file> <plugin_name> --output=html
Open HTML report: vol2html <output_file>

Memory Analysis

Identify process by name: vol.py -f <memory_dump> --profile=<profile> pslist | grep <process_name>
Dump a process: vol.py -f <memory_dump> --profile=<profile> memdump -p <pid> -D <output_directory>
Strings search: vol.py -f <memory_dump> --profile=<profile> strings -p <pid>

Malware Analysis

Detect injected code: vol.py -f <memory_dump> --profile=<profile> malfind
API hooking detection: vol.py -f <memory_dump> --profile=<profile> apihooks
Detect hidden processes: vol.py -f <memory_dump> --profile=<profile> psxview

Network Analysis

Check network connections: vol.py -f <memory_dump> --profile=<profile> netscan
Look for open ports: vol.py -f <memory_dump> --profile=<profile> sockets
Analyze network packets: vol.py -f <memory_dump> --profile=<profile> tcpip

Registry Analysis

List registry keys: vol.py -f <memory_dump> --profile=<profile> printkey -K <registry_key>
Dump registry hive: vol.py -f <memory_dump> --profile=<profile> hivelist
Analyze registry values: vol.py -f <memory_dump> --profile=<profile> hivedump -o <output_directory> -s <hive_offset>

File Analysis

Scan for files: vol.py -f <memory_dump> --profile=<profile> filescan
Dump file: vol.py -f <memory_dump> --profile=<profile> dumpfiles -Q <physical_offset> -D <output_directory>

Timeline Analysis

Show process timeline: vol.py -f <memory_dump> --profile=<profile> pstree
Analyze process creation time: vol.py -f <memory_dump> --profile=<profile> pslist --output-file=<output_file> --output=csv

wget https://gist.githubusercontent.com/andreafortuna/29c6ea48adf3d45a979a78763cdc7ce9/raw/4ec711d37f1b428b63bed1f786b26a0654aa2f31/malware_yara_rules.py
mkdir rules
python malware_yara_rules.py
volatility --profile=Win7SP1x86_23418 yarascan -y malware_rules.yar -f ch2.dmp | grep "Rule:" | grep -v "Str_Win32" | sort | uniq

INNE

Zewnętrzne wtyczki

Jeśli chcesz używać zewnętrznych wtyczek, upewnij się, że foldery związane z wtyczkami są pierwszym parametrem używanym.

./vol.py --plugin-dirs "/tmp/plugins/" [...]

Wolatility Cheat Sheet

Basic Commands

Image info: vol.py -f <memory_dump> imageinfo
Running processes: vol.py -f <memory_dump> --profile=<profile> pslist
Dumping a process: vol.py -f <memory_dump> --profile=<profile> memdump -p <pid> -D <output_directory>
File scan: vol.py -f <memory_dump> --profile=<profile> filescan

Plugins

Check for rootkits: vol.py -f <memory_dump> --profile=<profile> malfind
Network connections: vol.py -f <memory_dump> --profile=<profile> netscan
Registry analysis: vol.py -f <memory_dump> --profile=<profile> printkey -K <registry_key>
Detecting hidden processes: vol.py -f <memory_dump> --profile=<profile> psxview

Volatility GUI

Launch GUI: vol.py -f <memory_dump> --profile=<profile> --output-file=<output_file> --output=html gui
Access GUI: Open the generated HTML file in a web browser.

Memory Analysis

Identifying injected code: vol.py -f <memory_dump> --profile=<profile> malfind
Analyzing process memory: vol.py -f <memory_dump> --profile=<profile> memmap
Extracting DLLs from a process: vol.py -f <memory_dump> --profile=<profile> dlldump -p <pid> -D <output_directory>

Timeline Analysis

Creating a timeline: vol.py -f <memory_dump> --profile=<profile> --output-file=<output_file> timeline
Analyzing the timeline: Use tools like log2timeline and mactime.

Malware Analysis

Detecting injected code: vol.py -f <memory_dump> --profile=<profile> malfind
Identifying hidden processes: vol.py -f <memory_dump> --profile=<profile> psxview
Analyzing network connections: vol.py -f <memory_dump> --profile=<profile> netscan

Additional Resources

volatilitye --plugins="/tmp/plugins/" [...]

Autoruns

Pobierz go z https://github.com/tomchop/volatility-autoruns

volatility --plugins=volatility-autoruns/ --profile=WinXPSP2x86 -f file.dmp autoruns

Mutexy

./vol.py -f file.dmp windows.mutantscan.MutantScan

Wolatility Cheat Sheet

Basic Commands

Image info: vol.py -f <memory_dump> imageinfo
Running processes: vol.py -f <memory_dump> --profile=<profile> pslist
Dump process: vol.py -f <memory_dump> --profile=<profile> memdump -p <pid> -D <output_directory>
File scan: vol.py -f <memory_dump> --profile=<profile> filescan

Plugins

Check for rootkits: vol.py -f <memory_dump> --profile=<profile> malfind
Network connections: vol.py -f <memory_dump> --profile=<profile> netscan
Registry analysis: vol.py -f <memory_dump> --profile=<profile> printkey -K <registry_key>
Detecting hidden processes: vol.py -f <memory_dump> --profile=<profile> psxview

Memory Analysis

Identify injected code: vol.py -f <memory_dump> --profile=<profile> malfind
Extract DLLs: vol.py -f <memory_dump> --profile=<profile> dlldump
Analyze process memory: vol.py -f <memory_dump> --profile=<profile> memmap

Timeline Analysis

Show all processes: vol.py -f <memory_dump> --profile=<profile> pstotal
Display process timelines: vol.py -f <memory_dump> --profile=<profile> psscan

Malware Analysis

Detecting hidden modules: vol.py -f <memory_dump> --profile=<profile> ldrmodules
Identify injected threads: vol.py -f <memory_dump> --profile=<profile> ldrmodules

Network Analysis

List sockets: vol.py -f <memory_dump> --profile=<profile> sockets
Show network connections: voljson.py -f <memory_dump> --profile=<profile> connscan

User Activity Analysis

List user accounts: vol.py -f <memory_dump> --profile=<profile> useraccounts
Recover typed commands: vol.py -f <memory_dump> --profile=<profile> cmdscan

volatility --profile=Win7SP1x86_23418 mutantscan -f file.dmp
volatility --profile=Win7SP1x86_23418 -f file.dmp handles -p <PID> -t mutant

Dowiązania symboliczne

./vol.py -f file.dmp windows.symlinkscan.SymlinkScan

Wolatility Cheat Sheet

Basic Commands

Image info: vol.py -f <memory_dump> imageinfo
Running processes: vol.py -f <memory_dump> --profile=<profile> pslist
Dumping a process: vol.py -f <memory_dump> --profile=<profile> procdump -p <pid> -D <output_directory>
DLL list of a process: vol.py -f <memory_dump> --profile=<profile> dlllist -p <pid>
Handles of a process: vol.py -f <memory_dump> --profile=<profile> handles -p <pid>
Registry hives: vol.py -f <memory_dump> --profile=<profile> hivelist
Dumping a registry hive: vol.py -f <memory_dump> --profile=<profile> printkey -o <output_directory> -K <hive_offset>
Network connections: vol.py -f <memory_dump> --profile=<profile> connections
Patching a process: vol.py -json -f <memory_dump> --profile=<profile> malfind
Detecting hidden processes: vol.py -f <memory_dump> --profile=<profile> psxview
Kernel drivers: vol.py -f <memory_dump> --profile=<profile> driverscan

Advanced Commands

Detecting injected code: vol.py -f <memory_dump> --profile=<profile> malfind
Detecting rootkits: vol.py -f <memory_dump> --profile=<profile> ldrmodules
Detecting hooks: vol.py -f <memory_dump> --profile=<profile> apihooks
Detecting SSDT hooks: vol.py -f <memory_dump> --profile=<profile> ssdt
Detecting IDT hooks: vol.py -f <memory_dump> --profile=<profile> idt
Detecting user-mode hooks: vol.py -f <memory_dump> --profile=<profile> usermodehooks
Detecting driver hooks: vol.py -f <memory_dump> --profile=<profile> driverirp
Detecting fileless malware: vol.py -f <memory_dump> --profile=<profile> fileless_malware
Detecting process hollowing: vol.py -f <memory_dump> --profile=<profile> hollowfind
Detecting API hooking: vol.py -f <memory_dump> --profile=<profile> apihooks
Detecting covert processes: vol.py -f <memory_dump> --profile=<profile> psxview
Detecting hidden modules: vol.py -f <memory_dump> --profile=<profile> modscan
Detecting hidden drivers: vol.py -f <memory_dump> --profile=<profile> hidden
Detecting hidden files: vol.py -f <memory_dump> --profile=<profile> filescan
Detecting hidden registry keys: vol.py -f <memory_dump> --profile=<profile> hivescan
Detecting hidden TCP/UDP ports: vol.py -f <memory_dump> --profile=<profile> netscan

Memory Forensics

Identifying kernel modules: vol.py -f <memory_dump> --profile=<profile> malfind
Identifying user-mode modules: vol.py -f <memory_dump> --profile=<profile> modscan
Identifying hidden processes: vol.py -f <memory_dump> --profile=<profile> psxview
Identjsonifying injected code: vol.py -f <memory_dump> --profile=<profile> malfind
Identifying injected processes: vol.py -f <memory_dump> --profile=<profile> malfind
Identifying injected threads: vol.py -f <memory_dump> --profile=<profile> malfind
Identifying injected drivers: vol.py -f <memory_dump> --profile=<profile> malfind
Identifying injected DLLs: vol.py -f <memory_dump> --profile=<profile> malfind
Identifying injected IRPs: vol.py -f <memory_dump> --profile=<profile> malfind
Identifying injected SSDT entries: vol.py -f <memory_dump> --profile=<profile> malfind
Identifying injected IDT entries: vol.py -f <memory_dump> --profile=<profile> malfind
Identifying injected system call tables: vol.py -f <memory_dump> --profile=<profile> malfind
Identifying injected syscall handlers: vol.py -f <memory_dump> --profile=<profile> malfind
Identifying injected user-mode hooks: vol.py -f <memory_dump> --profile=<profile> malfind
Identifying injected driver hooks: vol.py -f <memory_dump> --profile=<profile> malfind
Identifying injected file system filter drivers: vol.py -f <memory_dump> --profile=<profile> malfind
Identifying injected fileless malware: vol.py -f <memory_dump> --profile=<profile> malfind
Identifying process hollowing: vol.py -f <memory_dump> --profile=<profile> malfind
Identifying API hooking: vol.py -f <memory_dump> --profile=<profile> malfind
Identifying covert processes: vol.py -f <memory_dump> --profile=<profile> malfind
Identifying hidden modules: vol.py -f <memory_dump> --profile=<profile> malfind
Identifying hidden drivers: vol.py -f <memory_dump> --profile=<profile> malfind
Identifying hidden files: vol.py -f <memory_dump> --profile=<profile> malfind
Identifying hidden registry keys: vol.py -f <memory_dump> --profile=<profile> malfind
Identifying hidden TCP/UDP ports: vol.py -f <memory_dump> --profile=<profile> malfind

volatility --profile=Win7SP1x86_23418 -f file.dmp symlinkscan

Bash

Możliwe jest odczytanie historii poleceń bash z pamięci. Możesz również zrzucić plik .bash_history, ale jeśli jest wyłączony, będziesz zadowolony z użycia tego modułu w volatility.

./vol.py -f file.dmp linux.bash.Bash

Wolatility Cheat Sheet

Basic Commands

Image info: vol.py -f <memory_dump> imageinfo
Running processes: vol.py -f <memory_dump> --profile=<profile> pslist
Dump process: vol.py -f <memory_dump> --profile=<profile> memdump -p <pid> -D <output_directory>
File scan: vol.py -f <memory_dump> --profile=<profile> filescan

Plugins

Check for rootkits: vol.py -f <memory_dump> --profile=<profile> malfind
Network connections: vol.py -f <memory_dump> --profile=<profile> netscan
Registry analysis: vol.py -f <memory_dump> --profile=<profile> printkey -K <registry_key>
Detect hidden processes: vol.py -f <memory_dump> --profile=<profile> psxview

Volatility GUI

Launch GUI: vol.py -f <memory_dump> --profile=<profile> --dtb <dtb_address> gui

Memory Analysis

Identify injected code: vol.py -f <memory_dump> --profile=<profile> malfind
Analyze DLLs: vol.py -f <memory_dump> --profile=<profile> dlllist
Extract cached passwords: vol.py -f <memory_dump> --profile=<profile> hashdump

Timeline Analysis

Show processes timeline: vol.py -f <memory_dump> --profile=<profile> pstree
Display network connections timeline: vol.py -f <memory_dump> --profile=<profile> connscan

Malware Analysis

Analyze process DLLs: vol.py -f <memory_dump> --profile=<profile> malfind
Investigate sockets: vol.py -f <memory_dump> --profile=<profile> sockets
Check for injected threads: vol.py -f <memory_dump> --profile=<profile> ldrmodules

Additional Resources

volatility --profile=Win7SP1x86_23418 -f file.dmp linux_bash

Harmonogram

./vol.py -f file.dmp timeLiner.TimeLiner

Podstawowa metodyka analizy dumpu pamięci za pomocą narzędzia Volatility

Ogólne polecenia

volatility -f <dump_file> imageinfo - Wyświetla informacje o dumpie pamięci.
volatility -f <dump_file> --profile=<profile> <command> - Uruchamia polecenie dla określonego profilu.

Analiza procesów

volatility -f <dump_file> --profile=<profile> pslist - Wyświetla listę procesów.
volatility -f <dump_file> --profile=<profile> pstree - Wyświetla drzewo procesów.
volatility -f <dump_file> --profile=<profile> psscan - Skanuje procesy w poszukiwaniu ukrytych.

Analiza modułów jądra

volatility -f <dump_file> --profile=<profile> modules - Wyświetla listę załadowanych modułów.
volatility -f <dump_file> --profile=<profile> modscan - Skanuje moduły jądra w poszukiwaniu ukrytych.

Analiza sieci

volatility -f <dump_file> --profile=<profile> netscan - Skanuje otwarte porty i połączenia sieciowe.
volatility -f <dump_file> --profile=<profile> connscan - Wyświetla listę połączeń sieciowych.

Analiza rejestrów

volatility -f <dump_file> --profile=<profile> hivelist - Wyświetla listę aktywnych plików rejestru.
volatility -f <dump_file> --profile=<profile> printkey -o <offset> - Wyświetla zawartość klucza rejestru.

Analiza plików

volatility -f <dump_file> --profile=<profile> filescan - Skanuje otwarte pliki i sterowniki.
volatility -f <dump_file> --profile=<profile> dumpfiles -Q <address> - Zapisuje plik z pamięci.

Analiza zrzutu stosu

volatility -f <dump_file> --profile=<profile> stack - Wyświetla stos dla każdego wątku.
volatility -f <dump_file> --profile=<profile> stackstrings -f <address> - Wyświetla łańcuchy znaków ze stosu.

Analiza procesów użytkownika

volatility -f <dump_file> --profile=<profile> consoles - Wyświetla aktywne sesje konsoli.
volatility -f <dump_file> --profile=<profile> cmdscan - Skanuje pamięć w poszukiwaniu poleceń cmd.exe.

Analiza plików pamięci wirtualnej

volatility -f <dump_file> --profile=<profile> memmap - Wyświetla mapowanie pamięci wirtualnej.
volatility -f <dump_file> --profile=<profile> memdump -p <pid> -D <output_directory> - Zapisuje plik pamięci wirtualnej.

Analiza wątków

volatility -f <dump_file> --profile=<profile> threads - Wyświetla listę wątków.
volatility -f <dump_file> --profile=<profile> thrdscan - Skanuje wątki w poszukiwaniu ukrytych.

Analiza usług

volatility -f <dump_file> --profile=<profile> svcscan - Wyświetla listę usług.
volatility -f <dump_file> --profile=<profile> getservicesids - Wyświetla identyfikatory usług.

Analiza zabezpieczeń

volatility -f <dump_file> --profile=<profile> getsids - Wyświetla identyfikatory zabezpieczeń.
volatility -f <dump_file> --profile=<profile> privs - Wyświetla uprawnienia procesów.

Analiza plików rejestru

volatility -f <dump_file> --profile=<profile> printkey -K <key> - Wyświetla zawartość określonego klucza rejestru.
volatility -f <dump_file> --profile=<profile> userassist - Wyświetla wpisy UserAssist z rejestru.

Analiza plików minidump

volatility -f <dump_file> --profile=<profile> malfind - Skanuje plik minidump w poszukiwaniu podejrzanych zachowań.
volatility -f <dump_file> --profile=<profile> mimikatz - Wyszukuje wrażliwe dane w pamięci.

Analiza plików hibernation

volatility -f <dump_file> --profile=<profile> hibinfo - Wyświetla informacje o pliku hibernation.
volatility -f <dump_file> --profile=<profile> hibscan - Skanuje plik hibernation w poszukiwaniu procesów.

Analiza plików pagefile

volatility -f <dump_file> --profile=<profile> pagefileinfo - Wyświetla informacje o pliku pagefile.
volatility -f <dump_file> --profile=<profile> pagefilescan - Skanuje plik pagefile w poszukiwaniu procesów.

Analiza plików crash dump

volatility -f <dump_file> --profile=<profile> ldrmodules - Wyświetla listę modułów załadowanych przez proces explorer.exe.
volatility -f <dump_file> --profile=<profile> apihooks - Wyświetla hooki API w procesie explorer.exe.

Analiza plików VAD

volatility -f <dump_file> --profile=<profile> vadinfo - Wyświetla informacje o VAD.
volatility -f <dump_file> --profile=<profile> vadtree - Wyświetla drzewo VAD.

Analiza plików SSDT

volatility -f <dump_file> --profile=<profile> ssdt - Wyświetla informacje o SSDT.
volatility -f <dump_file> --profile=<profile> callbacks - Wyświetla zarejestrowane callbacki SSDT.

Analiza plików GDT

volatility -f <dump_file> --profile=<profile> gdt - Wyświetla informacje o GDT.
volatility -f <dump_file> --profile=<profile> idt - Wyświetla informacje o IDT.

Analiza plików LDT

volatility -f <dump_file> --profile=<profile> ldt - Wyświetla informacje o LDT.
volatility -f <dump_file> --profile=<profile> dt - Wyświetla informacje o DT.

Analiza plików kernel pool

volatility -f <dump_file> --profile=<profile> poolscanner - Skanuje kernel pool w poszukiwaniu alokacji pamięci.
volatility -f <dump_file> --profile=<profile> poolfind -t <tag> - Wyszukuje tagi w kernel pool.

Analiza plików obiektów

volatility -f <dump_file> --profile=<profile> handles - Wyświetla listę uchwytów obiektów.
volatility -f <dump_file> --profile=<profile> objscan - Skanuje obiekty w poszukiwaniu ukrytych.

Analiza plików mutex

volatility -f <dump_file> --profile=<profile> mutantscan - Wyświetla listę obiektów mutex.
volatility -f <dump_file> --profile=<profile> mutantscan -s - Skanuje obiekty mutex w poszukiwaniu ukrytych.

Analiza plików token

volatility -f <dump_file> --profile=<profile> tokens - Wyświetla listę tokenów.
volatility -f <dump_file> --profile=<profile> privs - Wyświetla uprawnienia tokenów.

Analiza plików envars

volatility -f <dump_file> --profile=<profile> envars - Wyświetla listę zmiennych środowiskowych.
volatility -f <dump_file> --profile=<profile> getsids - Wyświetla identyfikatory zmiennych środowiskowych.

Analiza plików SSDT

volatility -f <dump_file> --profile=<profile> ssdt - Wyświetla informacje o SSDT.
volatility -f <dump_file> --profile=<profile> callbacks - Wyświetla zarejestrowane callbacki SSDT.

Analiza plików GDT

volatility -f <dump_file> --profile=<profile> gdt - Wyświetla informacje o GDT.
volatility -f <dump_file> --profile=<profile> idt - Wyświetla informacje o IDT.

Analiza plików LDT

volatility -f <dump_file> --profile=<profile> ldt - Wyświetla informacje o LDT.
volatility -f <dump_file> --profile=<profile> dt - Wyświetla informacje o DT.

Analiza plików kernel pool

volatility -f <dump_file> --profile=<profile> poolscanner - Skanuje kernel pool w poszukiwaniu alokacji pamięci.
volatility -f <dump_file> --profile=<profile> poolfind -t <tag> - Wyszukuje tagi w kernel pool.

Analiza plików obiektów

volatility -f <dump_file> --profile=<profile> handles - Wyświetla listę uchwytów obiektów.
volatility -f <dump_file> --profile=<profile> objscan - Skanuje obiekty w poszukiwaniu ukrytych.

Analiza plików mutex

volatility -f <dump_file> --profile=<profile> mutantscan - Wyświetla listę obiektów mutex.
volatility -f <dump_file> --profile=<profile> mutantscan -s - Skanuje obiekty mutex w poszukiwaniu ukrytych.

Analiza plików token

volatility -f <dump_file> --profile=<profile> tokens - Wyświetla listę tokenów.
volatility -f <dump_file> --profile=<profile> privs - Wyświetla uprawnienia tokenów.

Analiza plików envars

volatility -f <dump_file> --profile=<profile> envars - Wyświetla listę zmiennych środowiskowych.
volatility -f <dump_file> --profile=<profile> getsids - Wyświetla identyfikatory zmiennych środowiskowych.

volatility --profile=Win7SP1x86_23418 -f timeliner

Sterowniki

./vol.py -f file.dmp windows.driverscan.DriverScan

Wolatility Cheat Sheet

Basic Commands

Image info: vol.py -f <memory_dump> imageinfo
Running processes: vol.py -f <memory_dump> --profile=<profile> pslist
Dumping a process: vol.py -f <memory_dump> --profile=<profile> procdump -p <pid> -D <output_directory>
File scan: vol.py -f <memory_dump> --profile=<profile> filescan

Malware Analysis

Malware scan: vol.py -f <memory_dump> --profile=<profile> malscan
Yara scan: vol.py -f <memory_dump> --profile=<profile> yarascan --yara-rules=<rules_file>

Network Analysis

Network connections: vol.py -f <memory_dump> --profile=<profile> connscan
Sockets: vol.py -f <memory_dump> --profile=<profile> sockets
Packet capture: vol.py -f <memory_dump> --profile=<profile> tcpflow

Registry Analysis

Registry hives: vol.py -f <memory_dump> --profile=<profile> hivelist
Dumping registry: vol.py -f <memory_dump> --profile=<profile> printkey -o <output_directory> -K <registry_key>

User Analysis

User accounts: vol.py -f <memory_dump> --profile=<profile> useraccounts
Console history: vol.py -f <memory_dump> --profile=<profile> consoles

Timeline Analysis

Timeliner: vol.py -f <memory_dump> --profile=<profile> timeliner
Shellbags: vol.py -f <memory_dump> --profile=<profile> shellbags

Rootkit Detection

Hidden modules: vol.py -f <memory_dump> --profile=<profile> malfind
SSDT: vol.py -f <memory_dump> --profile=<profile> ssdt
Driver modules: vol.py -f <memory_dump> --profile=<profile> modules

Volatility Plugins

List available plugins: vol.py --info | grep -i <keyword>
Run a specific plugin: vol.py -f <memory_dump> --profile=<profile> <plugin_name>

Memory Dumping

Full memory dump: winpmem -o <output_directory>
Physical memory dump: winpmem --output <output_directory> --format raw

Other Useful Commands

API hooks: vol.py -f <memory_dump> --profile=<profile> apihooks
SSDT hooks: vol.py -f <memory_dump> --profile=<profile> ssdt
Driver modules: vol.py -f <memoryjson_dump> --profile=<profile> modules

volatility --profile=Win7SP1x86_23418 -f file.dmp driverscan

Uzyskaj schowek

#Just vol2
volatility --profile=Win7SP1x86_23418 clipboard -f file.dmp

Pobierz historię przeglądania w IE

#Just vol2
volatility --profile=Win7SP1x86_23418 iehistory -f file.dmp

Uzyskaj tekst z notatnika

#Just vol2
volatility --profile=Win7SP1x86_23418 notepad -f file.dmp

Zrzut ekranu

#Just vol2
volatility --profile=Win7SP1x86_23418 screenshot -f file.dmp

Master Boot Record (MBR)

volatility --profile=Win7SP1x86_23418 mbrparser -f file.dmp

Master Boot Record (MBR) odgrywa kluczową rolę w zarządzaniu logicznymi partycjami nośnika danych, które są zorganizowane w różnych systemach plików. MBR nie tylko przechowuje informacje o układzie partycji, ale także zawiera wykonywalny kod pełniący rolę ładowacza rozruchowego. Ten ładowacz rozruchowy albo bezpośrednio inicjuje proces ładowania drugiego etapu systemu operacyjnego (zobacz ładowacz drugiego etapu), albo współpracuje z rekordem rozruchowym woluminu (VBR) każdej partycji. Aby uzyskać dogłębną wiedzę, zapoznaj się z stroną Wikipedii dotyczącą MBR.

Referencje

RootedCON to najważniejsze wydarzenie z zakresu cyberbezpieczeństwa w Hiszpanii i jedno z najważniejszych w Europie. Mając misję promowania wiedzy technicznej, ten kongres stanowi gorące miejsce spotkań dla profesjonalistów technologii i cyberbezpieczeństwa we wszystkich dziedzinach.

RootedCONRootedCON

Dowiedz się, jak hakować AWS od zera do bohatera z htARTE (HackTricks AWS Red Team Expert)!

Inne sposoby wsparcia HackTricks:

Jeśli chcesz zobaczyć swoją firmę reklamowaną w HackTricks lub pobrać HackTricks w formacie PDF, sprawdź PLANY SUBSKRYPCYJNE!
Zdobądź oficjalne gadżety PEASS & HackTricks
Odkryj Rodzinę PEASS, naszą kolekcję ekskluzywnych NFT
Dołącz do 💬 grupy Discord lub grupy telegramowej lub śledź nas na Twitterze 🐦 @hacktricks_live.
Podziel się swoimi sztuczkami hakerskimi, przesyłając PR-y do HackTricks i HackTricks Cloud github repos.

PreviousMemory dump analysis NextPartitions/File Systems/Carving

Last updated 1 month ago