troushoo

スポンサーサイト

上記の広告は1ヶ月以上更新のないブログに表示されています。
新しい記事を書く事で広告が消せます。

  1. --/--/--(--) --:--:--|
  2. スポンサー広告

メモリダンプから様々な情報を抽出するためのオープンソースのツール : volatility

概要

TechEd North America 2014 (= Microsoft のカンファレンス) のセッションで紹介されていた、メモリダンプから様々な情報を収集するためのオープンソースのツールvolatility を紹介します。

内容


volatility を利用すると、メモリダンプ(= クラッシュダンプメモリ、ハイバネーションファイル、仮想マシンのスナップショット、ローフォーマット) から様々な情報を収集することができます。

volatility のダウンロード
volatility は、Python版 とexe版 があります。
本例では、exe版 を紹介します。(Python版 のインストール方法は、こちら(英語)で紹介されています。)

exe版のダウンロードは、volatility のサイトの”volatility-<バージョン>standalone.exe” からできます。
174-1

volatility の基本的な使い方
1. 管理者権限のコマンドプロンプトを開きます。

2. 以下のように実行します。
volatility-2.3.1.standalone.exe –f <メモリダンプのパス> --profile=<プロファイル> <コマンド>

例えば、プロセスの一覧を表示するコマンド”pslist” を実行するには、以下を実行します。

volatility-2.3.1.standalone.exe –f ./MEMORY.DMP --profile=Win7SP1x86 pslist

volatility-2.3.1.standalone.exe –f ./MEMORY.DMP --profile=Win7SP1x86 pslist

<プロファイル>は、”Win7SP1x86” といったもので、OS情報を指定します。
プロファイル一覧は、”volatility-2.3.1.standalone.exe –info” で確認できます。
volatility-2.3.1.standalone.exe –info

*2014/5/31 現在、プロファイルにWindows 8、8.1/Windows Server 2008、2008 R2 はありませんが、将来対応予定となっています。

volatility のコマンド
volatility にはたくさんのコマンドが用意されております。
以下、特徴的なコマンドを紹介します。

cmdscan
cmd.exe で実行されたコマンドを表示します。
以下の例では、”ping localhost –n 1” と”ipconfig” が実行されたことがわかります。
cmdscan

consoles
cmd.exe で実行されたコマンドの出力を表示します。
日本語は文字化けしてしまいました。
consoles

netscan
TCP・UDP の接続状態を表示します。
筆者の環境では、出力が終了するまで数時間かかりました。
netscan

svcscan
サービスの情報を表示します。
svcscan


情報元
TWC: Recalling Windows Memories: Useful Guide to Retrieving and Analyzing Memory Content
関連記事
lsass.exe のダンプからユーザーパスワードを抽出 :mimikatz


  1. 2014/06/01(日) 20:43:34|
  2. WinDbg
  3. | トラックバック:0
  4. | コメント:0
<<大きなWireshark のキャプチャーファイルからパケットを抽出 : tshark、editcap | ホーム | lsass.exe のダンプからユーザーパスワードを抽出 :mimikatz>>

コメント

コメントの投稿


管理者にだけ表示を許可する

トラックバック

トラックバック URL
http://troushoo.blog.fc2.com/tb.php/174-603b1695
この記事にトラックバックする(FC2ブログユーザー)

スポンサーリンク

最新記事

月別アーカイブ

カテゴリ

ツール (92)
ネットワーク (76)
Visual Studio (56)
SOS・Psscor2/Psscor4 (25)
WinDbg (25)
Linux (24)
Azure (17)
Tips (20)
英語 (1)
About Me (1)
未分類 (0)

全記事表示リンク

全ての記事を表示する

検索フォーム

RSSリンクの表示

リンク

このブログをリンクに追加する

上記広告は1ヶ月以上更新のないブログに表示されています。新しい記事を書くことで広告を消せます。