LiMEaide

v2.0

von Daryl Bennett - kd8bny[at]gmail[dot]com

Über

LiMEaide ist eine Python-Anwendung, die entwickelt wurde, um den RAM eines Linux-Clients remote oder lokal zu sichern und ein Volatility-Profil für die spätere Analyse auf Ihrem lokalen Host zu erstellen. Ich hoffe, dass dies die Linux-Digitalforensik in einer Remote-Umgebung vereinfacht. Um LiMEaide zu verwenden, müssen Sie lediglich die IP-Adresse eines entfernten Linux-Clients angeben, sich zurücklehnen und Ihr Lieblings-Koffeingetränk genießen.

LiMEaide hat 3 primäre Betriebsmodi

1. Remote – Stellt eine SSH-Verbindung her und überträgt Daten über SFTP
2. Socket – Stellt eine SSH-Verbindung her, überträgt das Speicherabbild jedoch über einen TCP-Socket. Das bedeutet, dass das Abbild NICHT auf die Festplatte geschrieben wird. Werkzeuge werden weiterhin über SFTP übertragen.
3. Lokal – Eine Kopie von LiMEaide auf einem USB-Stick oder einem anderen Gerät. Es werden keine Daten an den Client übertragen; die Ausführung erfolgt im Arbeitsverzeichnis. Alle Übertragungen werden mit internen Methoden durchgeführt, und es werden keine Netzwerk-Sockets geöffnet.

Wiki

Für eine detailliertere Nutzung schauen Sie ins Wiki

Anleitung

TL;DR

Remote

python3 limeaide.py <IP>

und der Zauber beginnt.

Lokal

python3 limeaide.py local

und lokaler Zauber beginnt.

Für die lokale Übertragung muss auf dem Rechner Python 3 installiert sein sowie die Abhängigkeiten. Ich empfehle die Verwendung von python3-virtualenv, um Abhängigkeiten bereitzustellen, ohne sie im System zu installieren.

Detaillierte Nutzung

limeaide.py [OPTIONS] REMOTE_IP
-h, --help
    Zeigt das Hilfefenster an

-u, --user : <user>
    Führt den Speicherzugriff als sudo-Benutzer aus. Nützlich, wenn root-Rechte nicht gewährt werden.

-k, --key : <path to key> 
    Verwendet einen SSH-Schlüssel zur Verbindung

-s, --socket : <port> 
    Verwendet einen TCP-Socket anstelle einer SFTP-Sitzung zur Datenübertragung. Schreibt das Speicherabbild nicht auf die Festplatte, überträgt aber andere benötigte Dateien.

-o, --output : <Name desired for output> 
    Gibt den Namen der Ausgabedatei an

-f, --format : <Format for LiME>
    Ändert das Ausgabeformat. Gültige Optionen: raw|lime|padded

-d, --digest : <digest>
    Verwendet einen anderen Digest-Algorithmus. Siehe LiME-Dokumentation für gültige Optionen.
    Verwenden Sie 'None', um zu deaktivieren. 

-C, --compress
    Komprimiert die Übertragung über die Leitung. Dies funktioniert nicht mit Socket- oder lokalen Übertragungen.

-p, --profile : <distro> <kernel version> <arch>
    Überspringt den Profiler, indem die Distribution, Kernel-Version und Architektur des entfernten Clients angegeben werden.

-N, --no-profiler
    Führt den Profiler NICHT aus und erzwingt die Erstellung eines neuen Moduls/Profils für den Client.

-c, --case : <case num>
    Hängt die Fallnummer an den Anfang des Ausgabeverzeichnisses an.

-v, --verbose
    Zeigt ausführliche Ausgabe an

--force-clean
    Bereinigt den Client, falls ein vorheriger Versuch fehlgeschlagen ist

• Für eine detailliertere Nutzung schauen Sie ins Wiki
• Zum Bearbeiten der Konfigurationsdatei siehe hier
• Um Module oder externe Module zu importieren, kopieren Sie einfach das Modul *.ko in das profiles-Verzeichnis. Nach dem Kopieren führen Sie LiMEaide aus, und der Profiler erkennt das neue Profil.

./profiles/

Einrichtung

Abhängigkeiten

python

• DEB-Basis

sudo apt-get install python3-paramiko python3-termcolor

• RPM-Basis

sudo yum install python3-paramiko python3-termcolor

• pip3

sudo pip3 install paramiko termcolor

dwarfdump installieren

Um ein Volatility-Profil zu erstellen, müssen wir die Debugging-Symbole im LKM lesen können. Dazu müssen wir dwarfdump installieren. Falls Sie Probleme beim Finden/Installieren von dwarfdump haben, siehe die Volatility-Seite hier

• DEB-Paketmanager

sudo apt-get install dwarfdump

• RPM-Paketmanager

sudo yum install libdwarf-tools

LiME

Automatische Installation

Standardmäßig lädt LiMEaide LiME automatisch herunter und platziert es im richtigen Verzeichnis. Wenn Sie jedoch nicht mit einem Netzwerk verbunden sind, fahren Sie mit der manuellen Installationsmethode im folgenden Abschnitt fort.

LiME manuell installieren

Um LiME zu verwenden, müssen Sie die Quelle herunterladen und in das LiMEaide/tools-Verzeichnis verschieben. Stellen Sie sicher, dass der LiME-Ordner LiME heißt. Der vollständige Pfad sollte wie folgt lauten:

LiMEaide/tools/LiME/

So geht's...

1. Laden Sie LiME v1.8.1 herunter
2. Entpacken Sie es in LiMEaide/tools/
3. Benennen Sie den Ordner in LiME um

Derzeitige Einschränkungen

• Unterstützt nur Bash. Andere Shells auf eigene Gefahr.
• Module müssen auf dem entfernten Client erstellt werden. Daher muss der entfernte Client die entsprechenden Header installiert haben.
  • Es sei denn, Sie folgen dieser Anleitung zum Kompilieren externer Kernelmodule. Nach dem Kompilieren kopieren Sie das Modul .ko in das LiMEaide-Profiles-Verzeichnis.

Besonderer Dank und Hinweise

• Die Idee für diese Anwendung basiert auf dem Konzept des Linux Memory Grabber-Projekts
• Und natürlich wäre nichts davon ohne das großartige LiME-Projekt möglich.