1、簡(jiǎn)述

在用戶(hù)遭受到攻擊時(shí)，除了進(jìn)行快速響應(yīng)，可能還會(huì)進(jìn)行取證，主要是對(duì)內(nèi)存、硬盤(pán)、入侵流量、瀏覽器歷史等方面內(nèi)容進(jìn)行取證。針對(duì)vmware虛擬環(huán)境，取證相對(duì)比較簡(jiǎn)單，直接拷貝相關(guān)目錄下虛擬機(jī)目錄即可，本文主要是對(duì)非虛擬環(huán)境系統(tǒng)進(jìn)行取證，分別介紹常見(jiàn)的linux、windows系統(tǒng)的取證方法。

2、windows系統(tǒng)

2.1 內(nèi)存取證

針對(duì)虛擬機(jī)獲取內(nèi)存，暫停vm并取出.vmem文件即可，很多木在馬程序都有較高的隱秘性，可能會(huì)修改系統(tǒng)調(diào)用的返回值，但是在內(nèi)存中的數(shù)據(jù)是真實(shí)存在的，所以在應(yīng)急的時(shí)候如果無(wú)法從系統(tǒng)中找到痕跡，可看看內(nèi)存中是否有相關(guān)字段，尤其是針對(duì)一些僅存于內(nèi)存中，關(guān)機(jī)就消失的情況，內(nèi)存取證是最好的辦法。針對(duì)內(nèi)存取證主要介紹兩種工具，dumplt 、volatility兩種工具。

2.1.1 DumpIt提取內(nèi)存信息

取證過(guò)程：工具下載地址：https://www.toolwar.com/search?q=dumpit

該軟件大小只有200k，使用也比較簡(jiǎn)單，直接運(yùn)行就會(huì)將內(nèi)存存儲(chǔ)到raw文件中

運(yùn)行完成后在當(dāng)前目錄下生成內(nèi)存存儲(chǔ)文件

內(nèi)存分析過(guò)程：redline: 取證結(jié)束接下來(lái)就是進(jìn)行內(nèi)存分析，內(nèi)存分析采用redline工具 工具下載地址：https://fireeye.market/apps/211364

下載之后進(jìn)行安裝即可，安裝完成后界面如下，雙擊已經(jīng)獲取內(nèi)存鏡像，加載之前保存的鏡像即可(在進(jìn)行內(nèi)存?zhèn)浞輹r(shí)，由于系統(tǒng)使用情況的不同，所以最終備份的大小也不同，有的可能幾十個(gè)g,所以在備份時(shí)建議使用大的硬盤(pán)或盤(pán)）)

加載完raw文件下一步后可編輯script腳本，主要修改內(nèi)容如下，勾選strings選框

加載的后的頁(yè)面如下，由于我保存后的內(nèi)存大小大約為5G，所以過(guò)程可能會(huì)慢一些

在打開(kāi)該軟件進(jìn)行分析時(shí)就一直卡在這里，所以還是建議利用Volatility進(jìn)行分析。Volatility: 該軟件功能還是很強(qiáng)大的，是用python編寫(xiě)，下載地址：https://github.com/volatilityfoundation/volatility

上述地址為volatility2.6的版本，所以首先需要python2.7的環(huán)境，具體安裝過(guò)程可參考網(wǎng)上資料：https://www.bnessy.com/archives/%E7%94%B5%E5%AD%90%E6%95%B0%E6%8D%AE%E5%8F%96%E8%AF%81-volatility

介紹幾個(gè)常用的功能：vol.py?-h

查看一些常用的的用法

vol.py -f win.raw imageinfo 查看備份鏡像相關(guān)信息

vol.py -f win.raw --profile=Win7SP1x64 pslist 查看內(nèi)存中運(yùn)行的進(jìn)程信息

查看注冊(cè)表中的用戶(hù)信息：

vol.py?-f?win.raw?--profile=Win7SP1x64?printkey?-K?"SAMDomainsAccountUsersNames"

獲取系統(tǒng)最后登錄的賬號(hào)

vol.py?-f?win.raw?--profile=Win7SP1x64??printkey?-K?"SOFTWAREMicrosoftWindows?NTCurrentVersionWinlogon"

獲取當(dāng)前用戶(hù)正在運(yùn)行的程序

vol.py?-f?win.raw?--profile=Win7SP1x64??userassist??

顯示cmd歷史命令

vol.py?-f?win.raw?--profile=Win7SP1x64??cmdscan? ?

?

?

查看網(wǎng)絡(luò)連接，已經(jīng)偵聽(tīng)、建立、關(guān)閉的連接

查看ie瀏覽記錄

vol.py?-f?win.raw?--profile=Win7SP1x64??iehistory

?

?

時(shí)間線(xiàn)：

vol.py?-f?win.raw?--profile=Win7SP1x64??timeliner

從多個(gè)位置收集大量活動(dòng)信息

查看密碼：

vol.py?-f?win.raw?--profile=Win7SP1x64????hashdump

?

?

hash破解網(wǎng)站：https://crackstation.net/

內(nèi)存文件搜索，由于搜索的文件會(huì)比較多，可用grep進(jìn)行過(guò)濾，很多時(shí)候可能需要分析的數(shù)據(jù)很多可利用 > aa.txt,這樣就可以將文件保存下來(lái)，封方便去查看。

vol.py?-f?win.raw?--profile=Win7SP1x64????filesacn?|?grep?nessus

文件轉(zhuǎn)儲(chǔ)：

vol.py?-f?win.raw?--profile=Win7SP1x64????dumpfiles?-Q?0x00000000523afd80?-D?./

進(jìn)程轉(zhuǎn)存，將看到的可疑進(jìn)程存儲(chǔ)下來(lái)

看了很多資料Volatility在ctf中取證題目中這個(gè)工具用到的比較多，在應(yīng)急場(chǎng)景中也是可以用到的，方便進(jìn)行后續(xù)的分析以及證據(jù)留存，還有很多其他的命令具體可參考網(wǎng)上前輩整理的一些資料：https://m0re.top/posts/c6e31ef3/

2.2 硬盤(pán)取證

想來(lái)想去，其實(shí)硬盤(pán)取證就是將硬盤(pán)打包成一個(gè)鏡像，網(wǎng)上類(lèi)似的工具很多，可使用windows自帶的dism命令，還可以采用備份軟件，如傲梅備份軟件進(jìn)行數(shù)據(jù)備份，具體操作過(guò)程比較簡(jiǎn)單，但是在備份時(shí)需要準(zhǔn)備個(gè)大空間的硬盤(pán)

3、linux系統(tǒng)

3.1 內(nèi)存取證

linux內(nèi)存取證利用LiME 工具，下載地址：

https://github.com/504ensicsLabs/LiME

使用方法：在編譯的時(shí)候可能會(huì)報(bào)錯(cuò)，但是不影響使用

cd?src?

make

?

?

make結(jié)束后會(huì)生成lime-5.4.0-26-generic.ko內(nèi)核模塊 加載生成的內(nèi)核模塊來(lái)獲取系統(tǒng)內(nèi)存，insmod 命令會(huì)幫助加載內(nèi)核模塊；模塊一旦被加載，會(huì)在你的系統(tǒng)上讀取主內(nèi)存（RAM）并且將內(nèi)存的內(nèi)容轉(zhuǎn)儲(chǔ)到命令行所提供的 path 目錄下的文件中。另一個(gè)重要的參數(shù)是 format；保持 lime 的格式，如下所示。在插入內(nèi)核模塊之后，使用 lsmod 命令驗(yàn)證它是否真的被加載。

insmod?./lime-4.18.0-240.el8.x86_64.ko?"path=../RHEL8.3_64bit.mem?format=lime"

?

?

在LiME目錄下生成.mem文件

查看文件信息

這樣就將內(nèi)存文件dump下來(lái)了，然后在利用Volatility工具進(jìn)行分析。

3.2 硬盤(pán)取證

linux有自己的dd命令，在取證之前需要準(zhǔn)備新的磁盤(pán)空間 復(fù)制磁盤(pán)：將/dev/sda完整的復(fù)制，dd命令時(shí)需要包含if=表示源磁盤(pán)，和of=表示目標(biāo)磁盤(pán)

dd?if=/dev/sda1??of=/dev/sdb

我在本地進(jìn)行測(cè)試時(shí)提示空間不夠，所以需要準(zhǔn)備足夠大的硬盤(pán)空間 磁盤(pán)鏡像：

dd?if=/dev/sda?of=/home/sdadisk.img

還原鏡像：

dd?if=sdadisk.img?of=/dev/sdb

還可以采用異地備份的方式：通過(guò)ssh連接進(jìn)行備份，如將服務(wù)器x.x.x.x的sda文件復(fù)制到本地

ssh?username@x.x.x.x?"dd?if=/dev/sda?|?gzip?-1?-"?|?dd?of=backup.gz

這里只是列舉了dd的部分用法，更多的用法可參考前輩總結(jié)：?https://cloud.tencent.com/developer/article/1720348?from=15425

取證方法還是有很多的，這次只是列舉了幾個(gè)操作相對(duì)比較簡(jiǎn)單的方法，方便在工作中使用，在進(jìn)行取證之前建議準(zhǔn)備個(gè)大空間的硬盤(pán)，不管是內(nèi)存鏡像還是硬盤(pán)鏡像往往都是需要很大的磁盤(pán)空間。

編輯：黃飛

?