【干货】Windows内存获取和分析---查找恶意进程，端口

来源：Unit 5: Windows Acquisition 5.1 Windows Acquisition Windows Memory Acquisition and Analysis

 

调查人员检查物理内存内容，以检测恶意进程、威胁和内存驻留恶意软件，以恢复密码和获取密钥。

 

伏笔：rootkit，root代表最高权限，kit表示软件。合起来，最高权限的软件。如果存在恶意rootkit，利用它可以运行指令将进程与一些显示进程列表接口的函数切断关联隐藏起来，你在任务管理器里看不见。这东西的危害，不是随随便便安装一个杀毒软件就可以搞得定的。需要时间彻查，扫描，对比，说白了就是用多方式得到结果，最后玩大家来找茬。要找到它就需要直接从内存的二进制识别出进程，再把它们完整列出来。下面的工具Volatility就是这么干的。

 

基于python的开源工具包volatile Framework能够从Windows和Linux UNIX内存镜像中提取信息。volatile框架支持各种插件，包括PS列表（进程列表）、PS扫描（进程扫描）、DLL列表、模块、conn扫描、hive列表等，允许我们提取进程、威胁、注册表、网络连接和许多关键信息。

就功能而言，谷歌的开源Rekall内存取证框架与volatile框架非常相似。谷歌的还可以提取内存镜像，volatile无此功能，需要其他工具先把内存提好。

PS list和PS scan显示的输出之间的任何差异都可能表明rootkit可能安装在可疑机器上。

 

Volatility内存分析演示

之前的文章说过AccessData的FTK Imager可以把内存dump出来。如果您运行的是虚拟机，那么 .vmem文件包含虚拟机主内存的副本。

 

SANS调查取证工具包已经安装了volatile

which vol.py  这是Volatility的路径   -h 看看插件的信息

 

提取出来的内存用的什么操作系统，什么时候提的 vol.py –f 文件路径 imageinfo

 

现在，在默认情况下，Volatility Framework将image作为WinXP SP 286来处理，如果是这样的话，我们就不需要提供image profile，如果运行的是其他插件，它会抱怨我不知道这个profile是什么。然后，您必须提供一个配置文件。加到上述命令后，什么命令怎么加都在它的帮助信息里，遇到了自行翻阅。

 

列出所有进程   这和windows任务管理器的结果差不多   进程如果被隐藏，将看不见它

 

将扫描的结果与列出的结果对比。有时rootkits隐藏在svchost.exe中

 

看一下连接的网络

发现与IP地址80端口有连接，一般情况，用户是不会去配置浏览器的，所以80代表浏览器。但是你怎么确定它对不对？有没有问题？这个时候，我们观察PID，去扫描出来的进程里面找发现它有问题。正常情况是打开浏览器，浏览器使用80端口。但这里对应的却是svchost.exe这个进程，非常可疑。这是Windows系统文件，但很多rootkits实际上隐藏在svchosts下。

 

 

这个可疑的进程，对应的IP地址，可以结合前面没的文件作为关键词来搜索，也可以用在线工具搜下这个IP是否被列入黑名单：IPVoid    VirusTotal     Shodan这三个在线工具

 

如果你是第一个发现此可疑IP的人，在线工具肯定搜不到。

 

还有其他的功能，比如查看注册表启动项，找到任何隐藏或注入的DLL。喜欢的自己去帮助里面找到它们，每个插件的工具功能是什么，你就可以玩弄内存了。