lethal-forensics/collect-memorydumpنص برمجي آلي بلغة PowerShell لجلب ذاكرة ويندوز بشكل قانوني للتحقيق الجنائي، بما في ذلك تفريغات الأعطال والتفريغات الخام، جمع ملف الصفحة، أدلة التقييم الأولي، وكشف الأقراص المشفرة.
Collect-MemoryDump - الإنشاء الآلي للقطات ذاكرة ويندوز لتحقيق الجنائي الرقمي والاستجابة للحوادث (DFIR)
Collect-MemoryDump.ps1 هو سكربت باورشل يستخدم لجمع لقطة ذاكرة من نظام ويندوز حي (بما في ذلك جمع ملف الصفحة) بطريقة سليمة جنائياً.
الميزات:
[!TIP] التحليل الجنائي الآلي لقطات ذاكرة ويندوز وملفات الصفحات المقابلة باستخدام MemProcFS-Analyzer
MAGNET Talks - فرانكفورت، ألمانيا (27 يوليو 2022)
عنوان العرض: تقنيات التحقيق الجنائي الرقمي الحديثة والاستجابة للحوادث
https://www.magnetforensics.com/
قم بتحميل أحدث إصدار من Collect-MemoryDump من قسم الإصدارات.
[!NOTE] Collect-MemoryDump لا يتضمن جميع الأدوات الخارجية بشكل افتراضي.
يجب عليك تحميل التبعيات التالية:
انسخ الملفات المطلوبة إلى مواقع الملفات التالية:
Belkasoft Live RAM Capturer
$SCRIPT_DIR\Tools\RamCapturer\x64\msvcp110.dll
$SCRIPT_DIR\Tools\RamCapturer\x64\msvcr110.dll
$SCRIPT_DIR\Tools\RamCapturer\x64\RamCapture64.exe
$SCRIPT_DIR\Tools\RamCapturer\x64\RamCaptureDriver64.sys
$SCRIPT_DIR\Tools\RamCapturer\x86\msvcp110.dll
$SCRIPT_DIR\Tools\RamCapturer\x86\msvcr110.dll
$SCRIPT_DIR\Tools\RamCapturer\x86\RamCapture.exe
$SCRIPT_DIR\Tools\RamCapturer\x86\RamCaptureDriver.sys
MAGNET DumpIt لويندوز
$SCRIPT_DIR\Tools\DumpIt\ARM64\DumpIt.exe
$SCRIPT_DIR\Tools\DumpIt\x64\DumpIt.exe
$SCRIPT_DIR\Tools\DumpIt\x86\DumpIt.exe
MAGNET Encrypted Disk Detector
$SCRIPT_DIR\Tools\EDD\EDDv310.exe
MAGNET Ram Capture
$SCRIPT_DIR\Tools\MRC\MRCv120.exe
MAGNET Response
$SCRIPT_DIR\Tools\MagnetRESPONSE\MagnetRESPONSE.exe
تحقق من: Wiki: كيفية إضافة أو تحديث التبعيات
.\Collect-MemoryDump.ps1 [-Tool] [--Pagefile] [--Triage]
مثال 1 - جمع تفريغ الأعطال من مايكروسوفت وملف الصفحة
.\Collect-MemoryDump.ps1 -Comae --Pagefile
مثال 2 - جمع تفريغ الذاكرة الفعلية الخام وملف الصفحة
.\Collect-MemoryDump.ps1 -DumpIt --Pagefile
مثال 3 - جمع تفريغ الذاكرة الفعلية الخام
.\Collect-MemoryDump.ps1 -WinPMEM
مثال 4 - جمع تفريغ الأعطال من مايكروسوفت وملف الصفحة والأدلة الجنائية
.\Collect-MemoryDump.ps1 -Comae --Pagefile --Triage
[!IMPORTANT] يجب تثبيت Microsoft .NET Framework 4 (أو أحدث) على النظام الهدف لكاشف الأقراص المشفرة MAGNET وMAGNET Response. ببساطة تخطى جمع ملف الصفحة أو قم بتحميل وتثبيت Microsoft .NET Framework 4 (المثبت المستقل) من موقع تحميل مايكروسوفت: https://www.microsoft.com/en-us/download/details.aspx?id=17718
[!IMPORTANT] MAGNET DumpIt لويندوز لا يدعم أنظمة ويندوز 7. يرجى استخدام أي من أدوات جمع الذاكرة الأخرى عند التعامل مع ويندوز 7.
شكل 1: رسالة المساعدة
شكل 2: التحقق من المساحة المتوفرة
شكل 3: الإنشاء الآلي للقطة ذاكرة ويندوز باستخدام MAGNET DumpIt لويندوز (بما في ذلك ملف الصفحة)
شكل 4: الإنشاء الآلي للقطة ذاكرة ويندوز باستخدام MAGNET DumpIt لويندوز (بما في ذلك ملف الصفحة)
شكل 5: الإنشاء الآلي للقطة ذاكرة ويندوز باستخدام WinPMEM (بما في ذلك ملف الصفحة)
شكل 6: الإنشاء الآلي للقطة ذاكرة ويندوز باستخدام Belkasoft Live RAM Capturer (بما في ذلك ملف الصفحة)
شكل 7: جمع ملف الصفحة باستخدام MAGNET Response
شكل 8: جمع معلومات العمليات/الوحدات الجارية باستخدام MAGNET Response
شكل 9: مربع الرسالة
شكل 10: واجهة MAGNET RAM Capture
شكل 11: الإنشاء الآلي للقطة ذاكرة ويندوز باستخدام MAGNET RAM Capture
شكل 12: مربع الرسالة - تم إنشاء لقطة الذاكرة بنجاح
شكل 13: جمع التصنيف باستخدام MAGNET Response
شكل 14: لقطة ذاكرة ويندوز باستخدام MAGNET DumpIt (بما في ذلك ملف الصفحة) + جمع التصنيف
شكل 15: مربع الرسالة - المجموعة الكاملة
شكل 16: حاوية الأرشيف الآمنة (PW: IncidentResponse) وملف السجل Logfile.txt
شكل 17: أدلة الإخراج
شكل 18: أدلة الذاكرة (DumpIt وملف الصفحة)
شكل 19: لقطة الذاكرة (بطريقة سليمة جنائياً)
شكل 20: ملف الصفحة ومعلومات ملف الصفحة
شكل 21: جمع ملف الصفحة (بطريقة سليمة جنائياً)
شكل 22: معلومات النظام المجمعة
شكل 23: المعالجة الآلية لـ 'ProcessesAndModules-Extended_Info.tsv' (MAGNET Response)
شكل 24: 'ProcessesAndModules-Extended_Info.ps1' → MemProcFS-Analyzer
7-Zip 24.09 Standalone Console (2024-11-29)
https://www.7-zip.org/download.html
Belkasoft Live RAM Capturer (2018-10-22)
https://belkasoft.com/ram-capturer
MAGNET DumpIt لويندوز (2023-01-17) → Comae-Toolkit-v20230117
https://www.magnetforensics.com/resources/magnet-dumpit-for-windows/
MAGNET Encrypted Disk Detector v3.1.0 (2022-06-19)
https://www.magnetforensics.com/resources/encrypted-disk-detector/
MAGNET RAM Capture v1.2.0 (2019-07-24)
https://www.magnetforensics.com/resources/magnet-ram-capture/
Magnet RESPONSE v1.7.1 (2024-09-07)
https://www.magnetforensics.com/resources/magnet-response/
PsLoggedOn v1.35 (2016-06-29)
https://docs.microsoft.com/de-de/sysinternals/downloads/psloggedon
WinPMEM 4.0 RC2 (2020-10-13)
https://github.com/Velocidex/WinPmem/releases
Belkasoft Live RAM Capturer
MAGNET DumpIt لويندوز
MAGNET Encrypted Disk Detector
MAGNET RAM Capture
MAGNET Response
WinPMEM