포렌식

AIX 메모리 덤프 생성 & 분석

로
※ AIX를 직접 테스트할 서버가 없어 구글링 및 메뉴얼 기반으로 간략하게 정리한 글이므로, 실제 운용환경과는 맞지 않거나 틀린 내용이 있을 수 있습니다. 1. AIX 메모리 덤프 수행 AIX는 snap 명령을 통해 core 덤프를 획득하는 방식으로 메모리 덤프를 수행합니다. snap 명령을 이용하여 core 덤프 이외에도 많은 시스템 정보를 함께 획득할 수 있으며, 덤프를 수행하기 이전에 덤프 설정을 확인하는 … 더 읽기

Volafunx (FreeBSD 메모리 분석툴) 테스트 결과

로
FreeBSD 메모리 분석툴인 Volafunx 테스트 결과입니다. 1. FreeBSD 메모리 덤프 수행 FreeBSD의 메모리 덤프는 DD 명령을 이용해 /dev/mem 을 덤프하는 방식으로 가능하며 6.4~9.0까지 테스트해본 결과 모두 정상적으로 덤프 수행이 가능하였습니다. ※ 덤프 크기를 지정해주지 않으면 더 이상 저장할 공간이 남지 않을 때까지 덤프가 진행이 되므로 정확한 크기를 지정해주어야합니다. 2. Volafunx 실행 Volafunx는 실행시 메모리 덤프 … 더 읽기

솔라리스 메모리 덤프 생성 & 분석

로
솔라리스에서는 메모리 덤프를 위해 dumpadm, savecore 와 같은 명령을 제공하고 있으며 코어 덤프 형태로 덤프 이미지를 생성합니다.1. 덤프 설정메모리 덤프를하기에 앞서 dumpadm 명령을 통해 현재 덤프와 관련된 설정 확인 및 수정이 가능합니다.-주요 옵션 옵션 설명 -c contents 덤프할 내용을 설정한다. -kernel : 커널 페이지 -curproc : 커널 페이지 + 최근 실행된 프로세스 페이지 -all : 모든 페이지 … 더 읽기

Volatility Linux Profile 생성

로
volatility-2.2-rc2(modify).tar.gz 다운로드 Volatility 2.2 버전에는 Linux 메모리 분석을 위한 기능이 새롭게 추가되었습니다. (링크) 프로세스,네트워크 정보를 포함하여 정보를 추출하기 위한 기능이 존재하고 있고 RC1 버전 기준으로 기본적으로 제공되는 Linux Profile은 없습니다. Volatility Wiki에서 프로파일 생성법을 제공하고 있으나 사용되는 Tool은 RC1 버전에는 포함되어 있지 않아 Source 탭에서 해당 소스를 별도로 다운받아 사용해야합니다.  2012년 9월 18일자로 업데이트된 RC2버전에서 … 더 읽기

Windows 메모리 덤프 생성 및 분석

로
1. 메모리 Dump 수집-FTK Imager FTK imager는 디스크, 메모리, 레지스트리 Hive 파일 Dump를 지원하는 무료 도구입니다.GUI 환경이라 손쉽게 사용가능하고 안정적인 Dump가 가능한 것이 특징입니다.-Win32/64dd Win32/64dd는 Moonsols Windows Memory Toolkit 중 일부로써, 윈도우 Crash Dump 형식을 지원하고 네크워크를 통해 Dump 파일을 저장 가능한 것이 특징입니다.2. 메모리 분석 툴-Redline Mandiant에서 제공하는 GUI환경의 무료 메모리 분석 도구입니다.Raw Dump 파일 및 Redline의 … 더 읽기

Windows 레지스트리 분석

로
레지스트리는 윈도우의 주요 설정값을 보유하고 있는 데이터베이스 파일이며 시스템에 하이브 파일로 저장되어 있습니다. -하이브 파일 위치  레지스트리  하이브  HKLM\BCD00000000  {Boot Partition}\Boot\BCD  HKLM\COMPONENTS  %SystemRoot%\System32\Config\COMPONENTS  HKLM\SYSTEM  %SystemRoot%\System32\Config\SYSTEM  HKLM\SAM  SystemRoot%\System32\Config\SAM  HKLM\SECURITY  %SystemRoot%\System32\Config\SECURITY  HKLM\SOFTWARE  %SystemRoot%\System32\Config\SOFTWARE  HKU\  %SystemRoot%\ServiceProfiles\LocalService\NTUSER.DAT  HKU\  %SystemRoot%\ServiceProfiles\NetworkService\NTUSER.DAT  HKU\  %UserProfile%\NTUSER.DAT  HKU\_Classes  %UserProfile%\AppData\Local\Microsoft\Windows\Usrclass.dat  HKU\.DEFAULT  SystemRoot%\System32\Config\DEFAULT  HKLM\HARDWARE  휘발성 1. 수집 및 분석 준비 하이브 파일은 대부분 시스템에의해 열려있어 일반적인 방법으로는 복사가 … 더 읽기
바로가기