Turkhackteam.org/net - Ethical Hacking & Cyber Security Platform Turkhackteam Under Ground Genel Güvenlik Adli Bilişim Volatility ile Adli Bilişimde Ram İmajı İncelemek-2 //oldnco
Volatility ile Adli Bilişimde Ram İmajı İncelemek-2 //oldnco
Bu yazımda Ram imajı nasıl incelenir size onu anlatacağım. Ram İmajını nasıl alacağınızı bilmiyorsanız "Dumplt ile Adli Bilişimde Ram İmajı Almak -1 //oldnco" Başlıklı konuma giderek öğrenebilirsiniz.
Öncelikle aşağıdaki indirme linklerinden programımızı indiriyoruz. Tüm platformları destekleyen bir program olduğu için isterseniz linux,macos ve windows sürümlerinden işletim sisteminize uygun olanı indirebilirsiniz.
Programımız Parrot OS ta kurulu geliyor. Ben bu dağıtım üzerinden anlatacağım.
Parrot OS kurulumu için : Parrot Security OS Nedir, Nasıl Kurulur // 'PALA
İmaj Hakkında Bilgi Toplama
Öncelikle aşağıdaki komutumuzu terminale girerek RAM imajını aldığımız sistemin bilgilerini(imajın alındığı zaman,kullanıcı bilgileri vb.) tespit edelim. BU tespit programın kullanılması içi çok önemli. Buradaki profil bilgilerini komut satırımızda kullanacağımız için ilk önce bu komutu çalıştırmamız gerekmektedir.
volatility programımızın adı
ram.mem benim almış aldığım ram imajının adı.
volatility -f ram.mem imageinfo
Çalışmakta olan uygulamaları görüntüleme - pslist
İmage info ile imajımızın bilgilerini tespit ettik. Suggetted Profile başlığının karşısındaki uygun profille işlemlerimize devam ediyoruz. Şimdi ram imajı alınırken bilgisayarda o an çalışan tüm uygulamaların listesini çıkarabildiğimiz " pslist " komutunu göreceğiz. Bu komut ile uygulamaların Offset,PID,PPID,Thds,Sess,Wow64, Başlangıç ve bitiş zamanlarını görebiliyoruz.
volatility -f ram.mem --profile=Win8SP1x64 pslist
Gördüğünüz gibi benim o anki tüm işlemlerin yukarıda listelendi.Listelenen uygulama isimlerinin ne olduğunu googleda aratarak bulabilirsiniz. Örneğin benim sistemimde o anda Discord,İtunes,skype vb işlemlerin çalıştığı görülmektedir.
Ağ Bağlantıları - connections ve connscan
Sistemimizde çalışan TCP bağlantılarını terminalde görüntülemek için
volatility -f ram.mem --profile=Win8SP1x64 connections
tüm bağlantılar için volatility -f ram.mem --profile=Win8SP1x64 connscan komutunu yazabilirsiniz
Volatilityde kullanabileceğiniz tüm parametreler
--tz=TZ               Sets the timezone for displaying timestamps
-l ********, --********=********
A URN ******** from which to load an address space
--output=text         Output in this format (format support is module
-g KDBG, --kdbg=KDBG  Specify a specific KDBG virtual address
Yukarıdaki kodların bir çoğunun sonuçlarını aşağıda vermiş olduğum bağlantı ve DeneyimsizDenek komutanımın hazırladığı konuda bulabilirsiniz.
Adli Bilişimde Ram İmajı Almak ve Ram Analizi
Hafıza Analiz Aracı
Adli Bilişim Kategorindeki Diğer Konularım:
İddialı Bir Adli Bilişim Yazılımı: "Forensic Explorer" //oldnco
Forensic Encase ile Veri Kurtarma //oldnco
Bilirkişi Nedir? Ne iş yapar? / oldnco
Linux'ta Adli İmaj Alma //oldnco
Şifreleri Çözün! Passware Kit Kullanımı /oldnco
Harddiskinizi Parçalamaya Mecbur Değilsiniz //oldnco
Silinen Verilerinizi Kurtarın! //oldnco
Dumplt ile Adli Bilişimde Ram İmajı Almak -1 //oldnco
XQ1, 'blackcoder Teşekkür etti.
Emeğine sağlık oldnco
Güzel konu es+1
BOOMBAAAA. eline sağlık bumbastik bir konu
R4V3N´isimli üyeden Alıntı
Elinize sağlık, yeni gördüm