eurecom-s3/linux_screenshot_xwindowsبرنامج إضافي لـ Volatility لاستخراج X لقطات شاشة من تفريغ الذاكرة
الهدف من هذه الإضافة (plugin) لـ volatility هو استخراج لقطة شاشة لجميع نوافذ X المفتوحة من تفريغ الذاكرة.
الإضافة linux_xwindows الخاصة بـ volatility والتي أنشأها Adam Bridge (https://github.com/bridgeythegeek/linux_xwindows) تستخرج بيانات وصفية متنوعة من كائنات النوافذ المسجلة في X، والتي يتم تحديدها عن طريق تجوال هياكل بيانات خادم X. على سبيل المثال، لكل نافذة تسرد إحداثيات النافذة، وأبعاد العرض والارتفاع، ومعرف النافذة. يحتوي README الخاص بـ Adam على مناقشة جيدة لهذه التفاصيل، لذا نقترح عليك قراءتها إذا كنت مهتمًا!
كمرجع، يمكنك العثور هنا على شكل يوضح الهياكل الأساسية لـ X والاعتماديات المتبادلة بينها:
لاستخراج هذه اللقطات، نعيد استخدام جزء من كود خادم X.
تقوم الإضافة أولاً بتفريغ تعيينات ذاكرة خادم X. ثم يتم إعطاء هذه التعيينات كمدخل لبرنامج C (loader)، إلى جانب مخرجات إضافة Adam. يقوم برنامج C هذا بـ mmap (مع علامة MAP_FIXED) لتعيينات ذاكرة Xorg في مساحة العنوان الخاصة به. بهذه الطريقة نعيد إنشاء مساحة عنوان Xorg، مما يضمن عدم كسر أي مرجع بين الكود والبيانات. ثم يقوم المحمل (loader) باستدعاء دالة (compGetImage) موجودة في كود Xorg ويحفظ النتيجة في ملف. حددنا هذه الدالة "السحرية" من خلال النظر في كيفية خدمة X لطلب لقطة شاشة أثناء الاستخدام العادي. لحسن الحظ، يمكن دائمًا العثور على هذه الدالة بدقة لأن struct _Screen يحتوي على مؤشر لها.
ميزة جيدة أخرى لهذه الطريقة هي أنها قادرة على استرجاع لقطة الشاشة حتى إذا كانت الشاشة مقفلة وقت التفريغ، وحتى النوافذ المخفية خلف نوافذ أخرى!
بعد استنساخ هذا المستودع، قم بتجميع المحمل (loader):
gcc -Wall -o loader loader.c
لاستخدام الإضافات:
vol.py --plugins=$PWD/plugins/ --profile=XXX -f ./vbox.dmp linux_screenshot_xwindows --out-dir /tmp/xwds/
لتحويل النتائج من xwd إلى png:
find /tmp/xwds/ -type f -name "*.xwd" -exec convert {} {}.png \;
لقد نجحنا في استرجاع لقطة الشاشة من الإعدادات التالية:
Ubuntu 14.04 LTS - X.Org X Server 1.15.1 (تاريخ الإصدار: 2014-04-13)
Ubuntu 16-04 LTS - X.Org X Server 1.18.4 (تاريخ الإصدار: 2016-07-19)
Debian 9 Testing - X.Org X Server 1.19.6 (تاريخ الإصدار: 2017-12-20)
Kubuntu 18.04 LTS - X.Org X Server 1.19.6 (تاريخ الإصدار: 2017-12-20)
بعض الملاحظات العشوائية ولكن المهمة:
لتحديد العملية إلى الصور "القابلة للرسم" فقط، نختار في إضافة volatility فقط الصور ذات الحجم المعقول.
تعمل هذه الأداة فقط إذا كان Xorg يستخدم التصيير البرمجي. هذا ليس هو الحال عادة على الأجهزة الفعلية ولكنه كان مستخدمًا افتراضيًا على أجهزة VirtualBox التي اختبرناها.
لا تنسَ أنك تقوم بتشغيل كود مستخرج من تفريغ الذاكرة بسلاسة. ربما ليس من الصعب على المهاجم العبث بالتفريغ والحصول على تنفيذ كود على جهازك. لذا اتخذ الاحتياطات اللازمة.
تم إكمال هذا المشروع خلال مشروع فصل دراسي في خريف 2017 في Eurecom، وقام به طالبان من Eurecom: حمدي عمار وأحمد مکادم. تم الإشراف عليه من قبل Fabio Pagani و Davide Balzarotti.
