LiMEaide

v2.0

من تأليف Daryl Bennett - kd8bny[at]gmail[dot]com

حول

LiMEaide هو تطبيق بايثون مصمم لتفريغ ذاكرة RAM لعميل لينكس عن بُعد أو محليًا وإنشاء ملف تعريف Volatility للتحليل لاحقًا على المضيف المحلي لديك. آمل أن يؤدي ذلك إلى تبسيط التحقيق الرقمي في لينكس في بيئة بعيدة. لاستخدام LiMEaide كل ما عليك فعله هو إدخال عنوان IP لعميل لينكس عن بُعد، ثم الجلوس والاسترخاء وتناول مشروبك المفضل المحتوي على الكافيين.

لدى LiMEaide 3 أوضاع تشغيل رئيسية

1. عن بُعد - يبدأ الاتصال عبر SSH وينقل البيانات عبر SFTP
2. مقبس (Socket) - يبدأ اتصالاً عبر SSH ولكن ينقل صورة الذاكرة عبر مقبس TCP. هذا يعني أن الصورة لا تُكتب على القرص. لا تزال الأدوات تُنقل عبر SFTP.
3. محليًا - امتلاك نسخة من LiMEaide على محرك أقراص فلاش أو جهاز آخر. لا ينقل أي بيانات إلى العميل، ويحافظ على التنفيذ في دليل عمله. تتم جميع عمليات النقل بأساليب داخلية ولا يتم فتح أي مقابس شبكة.

ويكي

لمزيد من الاستخدام التفصيلي، اطّلع على الويكي

كيفية الاستخدام

TL;DR

عن بُعد

python3 limeaide.py <IP>

ويحدث السحر.

محليًا

python3 limeaide.py local

ويحدث السحر المحلي.

يتطلب النقل المحلي تثبيت Python 3 والتبعيات على الجهاز. أوصي باستخدام python3-virtualenv لتوفير التبعيات دون تثبيتها على النظام.

الاستخدام التفصيلي

limeaide.py [OPTIONS] REMOTE_IP
-h, --help
    Shows the help dialog

-u, --user : <user>
    Execute memory grab as sudo user. This is useful when root privileges are not granted.

-k, --key : <path to key> 
    Use a SSH Key to connect

-s, --socket : <port> 
    Use a TCP socket instead of a SFTP session to transfer data. Does not write the memory image to disk, but will transfer other needed files.

-o, --output : <Name desired for output> 
    Name the output file

-f, --format : <Format for LiME>
    Change the output format. Valid options are raw|lime|padded

-d, --digest : <digest>
    Use a different digest algorithm. See LiME docs for valid options
    Use 'None' to disable. 

-C, --compress
    Compress transfer over the wire. This will not work with socket or local transfers.

-p, --profile : <distro> <kernel version> <arch>
    Skip the profiler by providing the distribution, kernel version, and architecture of the remote client.

-N, --no-profiler
    Do NOT run profiler and force the creation of a new module/profile for the client.

-c, --case : <case num>
    Append case number to front of output directory.

-v, --verbose
    Display verbose output

--force-clean
    If previous attempt failed then clean up client

• لمزيد من الاستخدام التفصيلي، اطّلع على الويكي
• لتعديل ملف التهيئة، انظر هنا
• لاستيراد الوحدات أو الوحدات الخارجية، فقط انسخ الوحدة *.ko إلى دليل profiles. بعد النسخ، قم بتشغيل LiMEaide وسيتعرف المحلل (profiler) على ملف التعريف الجديد.

./profiles/

الإعداد

التبعيات

بايثون

• قاعدة DEB

sudo apt-get install python3-paramiko python3-termcolor

• قاعدة RPM

sudo yum install python3-paramiko python3-termcolor

• pip3

sudo pip3 install paramiko termcolor

تثبيت dwarfdump

من أجل بناء ملف تعريف Volatility، نحتاج إلى القدرة على قراءة رموز التصحيح في وحدة LKM. لهذا نحتاج إلى تثبيت dwarfdump. إذا واجهت أي مشكلات في العثور على dwarfdump أو تثبيته، راجع صفحة Volatility هنا

• مدير حزم DEB

sudo apt-get install dwarfdump

• مدير حزم RPM

sudo yum install libdwarf-tools

LiME

التثبيت التلقائي

افتراضيًا، سيقوم LiMEaide بتنزيل LiME ووضعه تلقائيًا في الدليل الصحيح. ومع ذلك، إذا كنت غير متصل بالشبكة، فاتبع طريقة التثبيت اليدوية في القسم أدناه.

تثبيت LiME يدويًا

لاستخدام LiME، يجب عليك تنزيل المصدر ونقله إلى دليل LiMEaide/tools. تأكد من أن مجلد LiME اسمه LiME. المسار الكامل يجب أن يكون كما يلي:

LiMEaide/tools/LiME/

كيفية...

1. تحميل LiME v1.8.1
2. استخراج إلى LiMEaide/tools/
3. إعادة تسمية المجلد إلى LiME

القيود في الوقت الحالي

• يدعم bash فقط. استخدم الأصداف الأخرى على مسؤوليتك الخاصة.
• يجب بناء الوحدات على العميل البعيد. لذلك يجب أن يحتوي العميل البعيد على الرؤوس المناسبة.
  • ما لم تتبع دليل هذا لتجميع وحدات Kernel الخارجية. بمجرد التجميع، انسخ الوحدة .ko إلى دليل profiles الخاص بـ LiMEaide.

شكر وملاحظات خاصة

• فكرة هذا التطبيق مبنية على المفهوم الذي حلم به مشروع Linux Memory Grabber
• وبالطبع لا يمكن أن يكون أي من هذا ممكنًا دون مشروع LiME الرائع