记忆与取证（Memory & Forensics）

优质

小牛编辑

129浏览

2023-12-01

在本章中，我们将专注于在Volatility的帮助下研究易失性内存， Volatility是一个适用于以下平台的基于Python的取证框架: Android和Linux 。

易失性内存

易失性存储器是一种存储器，当系统电源关闭或中断时，内容将被擦除。 RAM是易失性存储器的最佳示例。这意味着，如果您正在处理尚未保存到非易失性存储器（如硬盘驱动器）的文档，并且计算机断电，则所有数据都将丢失。

一般而言，易失性记忆取证遵循与其他法医调查相同的模式 -

选择调查目标
获取取证数据
Forensic analysis

用于Android的基本volatility plugins收集RAM dump进行分析。收集RAM转储进行分析后，开始寻找RAM中的恶意软件非常重要。

YARA规则

YARA是一种流行的工具，它提供了一种强大的语言，与基于Perl的正则表达式兼容，并用于检查可疑文件/目录和匹配字符串。

在本节中，我们将基于模式匹配实现使用YARA，并将它们与实用功能结合起来。整个过程将有利于法医分析。

例子 (Example)

请考虑以下代码。此代码有助于提取代码。

import operator
import os
import sys
sys.path.insert(0, os.getcwd())
import plyara.interp as interp
# Plyara is a script that lexes and parses a file consisting of one more Yara
# rules into a python dictionary representation.
if __name__ == '__main__': 
   file_to_analyze = sys.argv[1] 
   rulesDict = interp.parseString(open(file_to_analyze).read()) 
   authors = {} 
   imps = {} 
   meta_keys = {} 
   max_strings = [] 
   max_string_len = 0 
   tags = {} 
   rule_count = 0  
   for rule in rulesDict: 
      rule_count += 1  
   # Imports 
   if 'imports' in rule: 
      for imp in rule['imports']: 
         imp = imp.replace('"','') 
         if imp in imps: 
            imps[imp] += 1 
         else: 
            imps[imp] = 1  
   # Tags 
   if 'tags' in rule: 
      for tag in rule['tags']: 
         if tag in tags: 
            tags[tag] += 1 
         else: 
            tags[tag] = 1
   # Metadata 
   if 'metadata' in rule: 
      for key in rule['metadata']: 
         if key in meta_keys: 
            meta_keys[key] += 1
         else: 
            meta_keys[key] = 1 
         if key in ['Author', 'author']: 
            if rule['metadata'][key] in authors: 
               authors[rule['metadata'][key]] += 1 
            else: 
               authors[rule['metadata'][key]] = 1  
   #Strings 
   if 'strings' in rule: 
      for strr in rule['strings']: 
         if len(strr['value']) > max_string_len: 
            max_string_len = len(strr['value']) 
            max_strings = [(rule['rule_name'], strr['name'], strr['value'])] 
         elif len(strr['value']) == max_string_len: 
            max_strings.append((rule['rule_name'], strr['key'], strr['value']))  
   print("\nThe number of rules implemented" + str(rule_count))
   ordered_meta_keys = sorted(meta_keys.items(), key = operator.itemgetter(1),
      reverse = True)
   ordered_authors = sorted(authors.items(), key = operator.itemgetter(1), 
      reverse = True)
   ordered_imps = sorted(imps.items(), key = operator.itemgetter(1), reverse = True)
   ordered_tags = sorted(tags.items(), key = operator.itemgetter(1), reverse = True)

上面的代码将产生以下输出。

实施的YARA规则数量有助于更好地了解可疑文件。间接地，可疑文件列表有助于收集取证的适当信息。

以下是github中的源代码: https://github.com/radhikascs/Python_yara : https://github.com/radhikascs/Python_yara