[Memory] Volatility

Security/Forensics

bonggang 2020. 3. 14. 12:24

볼라틸리티는 파이썬 기반으로 만든 메모리 포렌식 도구로 윈도우, 리눅스, MAC os에서 실행 가능한 오픈소스다. Plugin을 추가하여 여러 기능을 사용할 수 있으며 직접 플러그인을 제작하여 사용하는 것 역시 가능하다.

획득할 수 있는 정보

- 트리 형태의 프로세스 리스트

- 프로세스가 로드한 DLL과 핸들

- 프로세스 환경변수와 Import, Export하는 함수

- 네트워크 정보

- 시스템에서 로드했던 드라이버 목록

- 실행 중이거나 종료 또는 루트킷으로 은닉된 프로세스 오프셋

- SID(보안 식별자), PID, 스레드 수, 핸들 수, 시작 및 종료시간

기본 옵션

옵션	내용
-h, --help	모든 옵션의 도움말 및 해당 옵션의 디폴트 값 출력
--con-file	설정파일 경로 설정
-d, --debug	디버그
--plugins	플러그인 폴더 설정 (세미콜론을 이용해 추가 디렉터리 포함 가능)
--info	지원 os나 각 플러그인 기본 정보 출력
--cache-directory	캐시 파일 저장 경로 설정
--cache	Directory TableBase, KDBG, KPER의 주소 등 여러 변수를 저장
--tz	타임존 설정
-f, --filename	메모리 이미지 경로 설정
--profile	os 및 버전 설정
-l, --location	메모리 이미지의 URN 경로 설정
-w, --write	쓰기모드 활성화
--use-old-as	레거시 주소 공간을 쓰도록 설정
--dtb	DTB 주소 설정
--output	출력 파일 포맷 설정
--output-file	출력 파일 경로 설정
-v, --verbose	진행상황 출력
-g, --kdbg	KDBG 주소 값 설정
-k, --kpcr	KPCR 주소 값 설정

플러그인

기능	플러그인
이미지 정보	imageinfo, kdbgscan, kpcrscan
프로세스, dll	pslist, pstree, psscan, dlllist, dlldump, handles, getsids, verinfo, enumfunc
프로세스 메모리	memmap, memdump, procmemdump, procexedump, vadwalk, vadtree, vadinfo, vaddump
커널 메모리 & 오브젝트	connections, connscan, sockets, sockscan
레지스트리	hivescan, hivelist, printkey, hivedump, hashdump, lsadump, userassist
크래쉬 덤프, 하이버네이션 변환	crashinfo, hibinfo, imagecopy
멀웨어, 루트킷	malfind, svcscan, ldrmodules, impscan, apihooks, idt, gdt, threads, callbacks, driveirp, devicetree, psxview, ssdt_ex, timers
기타	strings, volshell, bioskbd, inspectcache, patcher, testsuite