MemProcFS: =============================== MemProcFS ist eine einfache und bequeme Möglichkeit, physischen Speicher als Dateien in einem virtuellen Dateisystem anzuzeigen. Einfache, triviale Point-and-Click-Speicheranalyse ohne die Notwendigkeit komplizierter Kommandozeilenargumente! Greifen Sie auf Speicherinhalte und Artefakte über Dateien in einem eingebundenen virtuellen Dateisystem oder über eine funktionsreiche Anwendungsbibliothek zu, die Sie in Ihre eigenen Projekte einbinden können! Analysieren Sie Speicherabbilddateien, <b>Live-Speicher</b> über DumpIt oder WinPMEM, <b>Live-Speicher im Lese-/Schreibmodus</b> von virtuellen Maschinen oder von [PCILeech](https://github.com/ufrisk/pcileech/) [FPGA](https://github.com/ufrisk/pcileech-fpga/)-Hardwaregeräten! Es ist sogar möglich, sich über eine gesicherte Verbindung mit einem entfernten LeechAgent-Speichererfassungsagenten zu verbinden – was eine entfernte Live-Speicher-Incident-Response ermöglicht – sogar über Verbindungen mit höherer Latenz und geringer Bandbreite! Werfen Sie einen Blick in [Virtual Machines with MemProcFS](https://github.com/ufrisk/MemProcFS/wiki/VM), [LiveCloudKd](https://github.com/ufrisk/LeechCore/wiki/Device_LiveCloudKd) oder [VMware](https://github.com/ufrisk/LeechCore/wiki/Device_VMWare)! Verwenden Sie Ihre bevorzugten Tools zur Speicheranalyse – Ihre bevorzugten Hex-Editoren, Ihre Python- und PowerShell-Skripte, WinDbg oder Ihre bevorzugten Disassembler und Debugger – alles funktioniert trivial mit MemProcFS, indem Sie einfach Dateien lesen und schreiben! <p align="center"><img src="https://assets.kitploit.com/production/public/readmes/2830/a111e1c899f2551096ce422ed932f3525456af2bc6ffa2d5e6abac1fee1f8849.png" height="190"/><img src="https://assets.kitploit.com/production/public/readmes/2830/4ecebbb25e1d08180796de105a630a7760973a6f47f2403ef1a48644126de979.jpg" height="190"/><img src="https://assets.kitploit.com/production/public/readmes/2830/11e55ba5f11c9d1137246542e03037eb387b0d64d14314d6e775e5f80108b691.png" height="190"/><img src="https://assets.kitploit.com/production/public/readmes/2830/7b379ca3d99eb25b9c638181fa4f0d0bf4c53f8c1f0e9475b03346670eeaab42.png" height="190"/></p> Erste Schritte! ============ Sehen Sie sich den hervorragenden kurzen Durchlauf von [13Cubed](https://www.13cubed.com/) an, um loszulegen! Sehen Sie sich auch meine älteren Konferenzvorträge von Disobey und BlueHat an. <p align="center"> <a href="https://youtu.be/hjWVUrf7Obk" alt="13Cubed: MemProcFS - This Changes Everything" target="_new"><img src="https://assets.kitploit.com/production/public/readmes/placeholders/f0fc86cfe65f76d40e15aaec61704ec8220a56dc89d4be03c46f67cb31b9fa8c.svg" height="230"/></a> <a href="https://youtu.be/mca3rLsHuTA?t=952" alt="Disobey 2020 talk - Live Memory Attacks and Forensics" target="_new"><img src="https://assets.kitploit.com/production/public/readmes/placeholders/f0fc86cfe65f76d40e15aaec61704ec8220a56dc89d4be03c46f67cb31b9fa8c.svg" height="230"/></a> <a href="https://www.youtube.com/watch?v=Da_9SV9FA34" alt="Microsoft BlueHatIL 2019 talk - Practical Uses for Hardware-assisted Memory Visualization" target="_new"><img src="https://assets.kitploit.com/production/public/readmes/placeholders/f0fc86cfe65f76d40e15aaec61704ec8220a56dc89d4be03c46f67cb31b9fa8c.svg" height="230"/></a></p> Für zusätzliche Dokumentation **sehen Sie sich das [Projekt-Wiki](https://github.com/ufrisk/MemProcFS/wiki)** an, um ausführliche detaillierte Informationen über das Dateisystem selbst, seine API und seine Plugin-Module zu erhalten! Für zusätzliche Informationen über Speichererfassungsmethoden sehen Sie sich das **[LeechCore-Projekt](https://github.com/ufrisk/LeechCore/)** an oder besuchen Sie den [PCILeech/MemProcFS](https://pcileech.com/discord) Discord-Server! Um loszulegen, laden Sie die [neuesten Binärdateien, Module und Konfigurationsdateien](https://github.com/ufrisk/MemProcFS/releases/latest) herunter und sehen Sie sich die [Anleitung](https://github.com/ufrisk/MemProcFS/wiki) an! Installation: =========== <b>Holen Sie sich die neuesten [Binärdateien, Module und Konfigurationsdateien](https://github.com/ufrisk/MemProcFS/releases/latest) aus dem neuesten Release.</b> Alternativ können Sie das Repository klonen und aus dem Quellcode erstellen. ## Windows Zum Einbinden des Dateisystems muss die <b>Dokany-Dateisystembibliothek</b> installiert sein. Laden Sie die neueste Version von Dokany Version 2 herunter und installieren Sie sie unter: https://github.com/dokan-dev/dokany/releases/latest Um Live-Speicher zu erfassen (ohne PCILeech-FPGA-Hardware), laden Sie [DumpIt](https://www.magnetforensics.com/resources/magnet-dumpit-for-windows) herunter und starten Sie MemProcFS über den DumpIt /LIVEKD-Modus. Alternativ können Sie WinPMEM beziehen, indem Sie den neuesten signierten [WinPMEM-Treiber](https://github.com/Velocidex/c-aff4/tree/master/tools/pmem/resources/winpmem) herunterladen und ihn neben MemProcFS platzieren – detaillierte Anweisungen finden Sie im [LeechCore-Wiki](https://github.com/ufrisk/LeechCore/wiki/Device_WinPMEM). PCILeech FPGA erfordert Hardware sowie _FTD3XXWU.dll_, die neben den MemProcFS-Binärdateien abgelegt werden muss. Bitte sehen Sie sich das [LeechCore](https://github.com/ufrisk/LeechCore)-Projekt für Anweisungen an. ## Linux MemProcFS sollte auf den meisten Linux-Distributionen mit installiertem FUSE out-of-the-box lauffähig sein. Wenn Sie aus dem Quellcode erstellen, sehen Sie sich die Anleitung zu [MemProcFS on Linux](https://github.com/ufrisk/MemProcFS/wiki/_Linux) an. ## macOS Laden Sie das neueste MemProcFS-Release von [hier](https://github.com/ufrisk/MemProcFS/releases/latest) herunter. MemProcFS hängt bei Verwendung als eingebundenes virtuelles Dateisystem von **macFuse** ab, was einen .kext erfordert. Laden Sie macFuse [hier](https://github.com/macfuse/macfuse/releases/latest) herunter und installieren Sie es. Wenn MemProcFS über die unterstützten C/C++/Rust-APIs verwendet wird, ist macFuse nicht erforderlich. Umfangreiche Python-, Rust-, Java-, Go-, C#- und C/C++-API: =============================== Binden Sie MemProcFS in Ihre [C/C++](https://github.com/ufrisk/MemProcFS/wiki/API_C)-, [C#](https://github.com/ufrisk/MemProcFS/wiki/API_CSharp)-, [Java](https://github.com/ufrisk/MemProcFS/wiki/API_Java)-, [Go](https://github.com/TexHik620953/go-memprocfs/)- (Drittanbieter), [Python](https://github.com/ufrisk/MemProcFS/wiki/API_Python)- oder [Rust](https://github.com/ufrisk/MemProcFS/wiki/API_Rust)-Programmierprojekte ein! Alles in MemProcFS wird über eine einfach zu verwendende API für die Verwendung in Ihren eigenen Projekten bereitgestellt! Die plugin-freundliche Architektur ermöglicht es Benutzern, MemProcFS einfach mit C/C++/Rust/Python-Plugins zu erweitern! Alles in MemProcFS wird als APIs bereitgestellt. APIs existieren sowohl für C/C++ `vmmdll.h`, C# [nuget package](https://www.nuget.org/packages/Vmmsharp/), Java, Python [pip package](https://pypi.org/project/memprocfs/) und Rust [crate](https://crates.io/crates/memprocfs). Das Dateisystem selbst wird virtuell über die API verfügbar gemacht, ohne dass es eingebunden werden muss. Es ist möglich, sowohl virtuellen Prozessspeicher als auch physischen Speicher zu lesen! Das folgende Beispiel zeigt das Lesen von 0x20 Bytes von der physischen Adresse 0x1000: ``` >>> import memprocfs >>> vmm = memprocfs.Vmm(['-device', 'c:/temp/win10_memdump.raw']) >>> print(vmm.hex( vmm.memory.read(0x1000, 0x20) )) 0000 e9 4d 06 00 01 00 00 00 01 00 00 00 3f 00 18 10 .M..........?... 0010 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ ``` MemProcFS ist als Python-pip-Paket verfügbar und lässt sich einfach in Ihre [Jupyter Notebooks](https://github.com/ufrisk/MemProcFS/wiki/API_Python_Jupyter) integrieren. Beispiele: ========= Starten Sie MemProcFS über die Kommandozeile – möglicherweise mit einem der folgenden Beispiele. Oder registrieren Sie die Speicherabbild-Dateiendung mit MemProcFS.exe, sodass das Dateisystem automatisch eingebunden wird, wenn Sie auf eine Speicherabbilddatei doppelklicken! - Speicherabbilddatei als Standard-M: einbinden <br>`memprocfs.exe -device c:\temp\win10x64-dump.raw` - Speicherabbilddatei als Standard-M: mit zusätzlicher Ausführlichkeit einbinden: <br>`memprocfs.exe -device c:\temp\win10x64-dump.raw -v` - Speicherabbilddatei als Standard-M: einbinden und Forensik-Modus starten: <br>`memprocfs.exe -device c:\temp\win10x64-dump.raw -forensic 1` - Speicherabbilddatei als Standard-M: einbinden und Forensik-Modus mit einem Yara-Scan starten: <br>`memprocfs.exe -device c:\temp\win10x64-dump.raw -forensic 1 -forensic-yara-rules c:\yara\rules\windows_malware_index.yar` - Speicherabbilddatei als /home/pi/mnt/ unter Linux einbinden: <br>`./memprocfs -mount /home/pi/linux -device /dumps/win10x64-dump.raw` - Speicherabbilddatei als S: einbinden <br>`memprocfs.exe -mount s -device c:\temp\win10x64-dump.raw` - Live-Zielspeicher im Nur-Lese-Modus mit WinPMEM-Treiber einbinden: <br>`memprocfs.exe -device pmem` - Live-Zielspeicher im Lese-/Schreibmodus mit PCILeech-FPGA-Speichererfassungsgerät einbinden: <br>`memprocfs.exe -device fpga -memmap auto` - Speicherabbild mit entsprechenden Auslagerungsdateien einbinden: <br>`memprocfs.exe -device unknown-x64-dump.raw -pagefile0 pagefile.sys -pagefile1 swapfile.sys` PCILeech- und MemProcFS-Community: ========= Finden Sie das alles etwas überwältigend? Oder möchten Sie einfach nur eine kurze Frage stellen? Treten Sie dem PCILeech- und MemProcFS-DMA-Community-Server auf Discord bei! <a href="https://pcileech.com/discord"><img src="https://assets.kitploit.com/production/public/readmes/2830/dd08fab787215b19b3e40b783ad638e783a82877e2327db7ccfd42e1454d1a94/1b0a45deb2d3a6f0b2933330f855a6c788343ce3e9f4a6df439c161a52dc460a-display-v1.webp"/></a> Erstellen: ========= <b>Vorgefertigte [Binärdateien, Module und Konfigurationsdateien](https://github.com/ufrisk/MemProcFS/releases/latest) finden Sie im neuesten Release.</b>. MemProcFS-Binärdateien werden mit Visual Studio 2022 und Ubuntu x64/AARCH64 erstellt. Detaillierte Build-Anweisungen finden Sie im [Wiki](https://github.com/ufrisk/MemProcFS/wiki) im Abschnitt [Building](https://github.com/ufrisk/MemProcFS/wiki/Dev_Building). Lizenz: ======== Der Projektquellcode wird unter folgender Lizenz veröffentlicht: GNU Affero General Public License v3.0. Einige mitgelieferte Abhängigkeiten und Plugins werden unter GPLv3 veröffentlicht. Einige mitgelieferte weiterverteilbare Microsoft-Binärdateien werden unter separaten Lizenzen veröffentlicht. Eine alternative Lizenzierung ist auf Anfrage möglicherweise möglich. Mitwirken: ============= PCILeech, MemProcFS und LeechCore sind Open Source, aber nicht Open Contribution. PCILeech, MemProcFS und LeechCore bieten eine hochflexible Plugin-Architektur, die Beiträge in Form von Plugins ermöglicht. Wenn Sie einen Beitrag leisten möchten, der kein Plugin ist, zu den Kernprojekten, kontaktieren Sie mich bitte, bevor Sie mit der Entwicklung beginnen. Links: ====== * Twitter: [](https://twitter.com/intent/follow?screen_name=UlfFrisk) * Discord: [](https://pcileech.com/discord) * PCILeech: https://github.com/ufrisk/pcileech * PCILeech FPGA: https://github.com/ufrisk/pcileech-fpga * LeechCore: https://github.com/ufrisk/LeechCore * MemProcFS: https://github.com/ufrisk/MemProcFS * Blog: http://blog.frizk.net Links - Verwandte Projekte: ========================= * [MemProcFS-Analyzer](https://github.com/LETHAL-FORENSICS/MemProcFS-Analyzer/) ist eine PowerShell-Anwendung eines Drittanbieters, die die Verwendung von MemProcFS vereinfacht und Ihren Speicheranalyse-Workflow optimiert. MemProcFS-Analyzer wird von [@evild3ad](https://github.com/evild3ad) bei [LETHAL-FORENSICS](https://github.com/LETHAL-FORENSICS) gepflegt. Changelog: =================== <details><summary>Frühere Releases (zum Erweitern klicken):</summary> v1.0 * Erstveröffentlichung. v1.1-v4.9 * Verschiedene Aktualisierungen. Weitere Informationen finden Sie in den einzelnen Releases. v5.0 * Hauptrelease mit neuen Funktionen zur Unterstützung paralleler Analyseaufgaben. * Breaking API-Änderungen und größere Aktualisierungen. * Erweiterte forensische Analysefähigkeiten und [CSV-Datei](https://github.com/ufrisk/MemProcFS/wiki/FS_Forensic_CSV)-Unterstützung. * Linux-Plugin-Unterstützung. * Neue [Java-API](https://github.com/ufrisk/MemProcFS/wiki/API_Java). v5.1 * Unterstützung für Windows 11 22H2. * Text- und Nur-Binär-Ansichten unter '/misc/view/'. v5.2 * Fehlerbehebungen. * [Virtual Machine support](https://github.com/ufrisk/MemProcFS/wiki/VM). * [ARM64 Windows support](https://github.com/ufrisk/MemProcFS/wiki/_ARM64). * FPGA-Leistungsverbesserungen. * Gerätebaum-Informationen in /sys/drivers. * Linux-Funktionserweiterungen: memcompress und token. * Manueller Download von Debug-Symbolen (PDBs) auf Offline-Systemen (nur Windows). v5.3 * Fehlerbehebungen und Leistungsoptimierungen. * PE-weitergeleitete Funktionen. * PE-Versionsinformationen. * MemProcFS Python-Batch-Modus. * Linux-Python-Plugin-Unterstützung. * Hyper-V Container/Sandbox-Unterstützung. * Windows Hypervisor Platform-Unterstützung (VMware und VirtualBox auf Hyper-V). v5.4 * Rust-API-Unterstützung. * Debug-Symbol-Unterstützung bei Ausführung unter Linux. v5.5 * [Findevil](https://github.com/ufrisk/MemProcFS/wiki/FS_FindEvil): Neue thread-basierte Erkennungen. Findevil ist jetzt nur noch im Forensik-Modus verfügbar. * [Jupyter Notebook example](https://github.com/ufrisk/MemProcFS/wiki/API_Python_Jupyter) * Yara-Unterstützung im [forensics mode](https://github.com/ufrisk/MemProcFS/wiki/FS_Forensic_Yara) und [search](https://github.com/ufrisk/MemProcFS/wiki/FS_YaraSearch). v5.6 * Fehlerbehebungen, Leistungsoptimierungen und kleinere Aktualisierungen. * [files](https://github.com/ufrisk/MemProcFS/wiki/FS_Forensic_Files)-Plugin im Forensik-Modus – zeigt Dateien mit wiederherstellbaren Inhalten. * Integrierte Yara-Regeln für [Findevil](https://github.com/ufrisk/MemProcFS/wiki/FS_FindEvil) im Forensik-Modus von [Elastic Security](https://github.com/elastic/protections-artifacts).<br>Aktivieren Sie diese, indem Sie die Elastic-Lizenz 2.0 über die Startoption [`-license-accept-elastic-license-2.0`](https://github.com/ufrisk/MemProcFS/wiki/_CommandLine#-license-accept-elastic-license-2.0) akzeptieren. v5.7 * Fehlerbehebungen. * Rust-API-Aktualisierungen. * Neue FindEvil-Yara-Erkennungen. * Yara-Scans von Dateiobjekten (erhöhte Chance auf Erkennung anfälliger Treiber durch FindEvil). * Verbesserte FPGA-Leistung bei kleineren Lesevorgängen. * Verbessertes [MemProcFS remoting](https://github.com/ufrisk/MemProcFS/wiki/_Remoting) über einen entfernten [LeechAgent](https://github.com/ufrisk/LeechCore/wiki/LeechAgent). Volle MemProcFS-Remote-Unterstützung über SMB – tcp/445. Perfekt für Memory Forensics Incident Response (IR)! v5.8 * LeechCore-API-Aktualisierungen für C/C++, C#, Rust, Python, Java. * Unterstützung für die Analyse von ARM64-Windows-Speicher. [v5.9](https://github.com/ufrisk/MemProcFS/releases/tag/v5.9) * Fehlerbehebungen. * Modulverbesserungen: ntfs, procinfo, web. * C#-API: Verbesserungen. * Java-API: Unterstützung für java.lang.foreign (JDK21+) für effiziente Speicherzugriffe. * Linux-PCIe-FPGA-Leistungsverbesserungen. * FindEvil: Ausgelöste Yara-Regeln werden jetzt angezeigt. * FindEvil: AV-Erkennungen von Windows Defender, der auf dem analysierten System vorhanden ist. * Python-API: neue Funktionalität (multi-read, type-read) und verbesserte Scatter-Read-Leistung. * Unterstützung für Proxmox-Speicherabbilddateien. [v5.10](https://github.com/ufrisk/MemProcFS/releases/tag/v5.10) * Unterstützung für Windows 11 24H2-Release. * Fehlerbehebungen. * Benannte _SECTION-Objekte zur VAD-Map hinzugefügt. * `-memmap auto`-Verbesserungen. * Unterstützung für Hibernation-Dateien. * FindEvil: UM-APC-Erkennung. Danke an [@thejanit0r](https://github.com/thejanit0r) für den Beitrag. * [Sysinfo module](https://github.com/ufrisk/MemProcFS/wiki/FS_Sys_Sysinfo) für leicht lesbare Systeminformationen. * [Eventlog module](https://github.com/ufrisk/MemProcFS/wiki/FS_Misc_Eventlog) für bequemen Zugriff auf Ereignisprotokolldateien. * Die Binärsuch-API erlaubt jetzt bis zu 16 Mio. Suchbegriffe (zuvor 16). * Prefetch-Parsing. [v5.11](https://github.com/ufrisk/MemProcFS/releases/tag/v5.11) * Fehlerbehebungen. * [New Vmmsharp C# API](https://github.com/ufrisk/MemProcFS/wiki/API_CSharp). [v5.12](https://github.com/ufrisk/MemProcFS/releases/tag/v5.12) * Fehlerbehebungen. * Aktualisierungen (FindEvil, neue Signaturen usw.). * Neue APIs für Kernel Objects, Drivers und Devices. [v5.13](https://github.com/ufrisk/MemProcFS/releases/tag/v5.13) * Fehlerbehebungen. * Neues [console module](https://github.com/ufrisk/MemProcFS/wiki/FS_Process_Console) hinzugefügt. * Dateiwiederherstellungsverbesserungen (Dateigrößen, Signierungsinformationen) für [files module](https://github.com/ufrisk/MemProcFS/wiki/FS_Forensic_Files). * Memory-Callback-API-Funktionalität (nur C/C++-API). * [Callstack parsing](https://github.com/ufrisk/MemProcFS/wiki/FS_Process_Threads) für x64-User-Mode-Prozess-Callstacks. [v5.14](https://github.com/ufrisk/MemProcFS/releases/tag/v5.14) * Fehlerbehebungen. * Linux-clang-Kompilierungsunterstützung. * macOS-Unterstützung. [v5.15](https://github.com/ufrisk/MemProcFS/releases/tag/v5.15) * Fehlerbehebungen. * Linux-LeechAgent-Unterstützung über gRPC (LeechCore v2.21). * Neue FindEvil-Erkennung: High Entropy. * [DNS cache parsing](https://github.com/ufrisk/MemProcFS/wiki/FS_SysInfo_Network). Danke an [@MattCore71](https://github.com/MattCore71) für den Beitrag. [v5.16](https://github.com/ufrisk/MemProcFS/releases/tag/v5.16) * Fehlerbehebungen. * Unterstützung für Windows 11 25H2 </details> [v5.17](https://github.com/ufrisk/MemProcFS/releases/tag/v5.17) * Unterstützung für Windows 11 26H1. * Verbessertes Registry-Parsing. * Neue Refresh-Optionen in der API. * Neuer optionaler Logging-Callback in der API. * Unterstützung für Nicht-ASCII-Zeichen in Dateipfaden. [v5.18](https://github.com/ufrisk/MemProcFS/releases/tag/v5.18) * Fehlerbehebungen. * Neues Modul: Windows Terminal Parser (Win11+). * Neues Forensik-Modul: amcache Parser (Win10+). * Obergrenze der PTE-Map von 65536 auf 131072 angepasst. * Fix: Dateischreibvorgänge in WSL-eingebundenem MemProcFS (drvfs) funktionieren jetzt. [v5.19](https://github.com/ufrisk/MemProcFS/releases/tag/v5.19) * Unterstützung für Windows 11 26H2. * Fehlerbehebungen. * Fix: Heap-Wiederherstellung funktioniert jetzt unter Windows 11 24H2 und später. * Fix: Pool- und Heap-Parsing verbessert. * Fix: Wiederherstellungsraten für komprimierten Speicher verbessert. * Neues Modul: /sys/eventlog (Windows-Ereignisprotokoll-Wiederherstellung). * Neues Modul: /sys/proc/cpu – Prozess-CPU-Auslastung, aktuell und gesamt. * Neue API-Funktion: VMMDLL_MemVirtualQuery. * Neue API-Funktion: VMMDLL_WinReg_QueryNameOriginalU.
