• ~30 plugins de Volatility combinados en ~20 plugins de DAMM (p. ej., pslist, psxview y otros elementos se combinan en un plugin de 'processes')
• Capacidad de ejecutar múltiples plugins en una sola invocación
• La opción de almacenar los resultados de los plugins en bases de datos SQLite para su conservación o para análisis 'en caché'
• Un sistema de filtrado/tipos que permite filtrar fácilmente por atributos como pids para ver toda la información relacionada con algún proceso y coincidencias exactas o parciales para cadenas, etc.
• La capacidad de mostrar las diferencias entre dos bases de datos de resultados para máquinas iguales o similares y manipular desde la línea de comandos cómo funciona la diferenciación
• La capacidad de advertir sobre ciertos tipos de comportamiento sospechoso
• Salida para terminal, tsv o grepable

NOTE: Most DAMM output looks better piped through 'less -S' (upper 'S') as in:

python damm.py | less -S (for default output format)

python damm.py -h usage: damm.py [-h] [-d DIR] [-p PLUGIN [PLUGIN ...]] [-f FILE] [-k KDBG] [--db DB] [--profile PROFILE] [--debug] [--info] [--tsv] [--grepable] [--filter FILTER] [--filtertype FILTERTYPE] [--diff BASELINE] [-u FIELD [FIELD ...]] [--warnings] [-q]

DAMM v1.0 Beta

optional arguments: -h, --help show this help message and exit -d DIR Path to additional plugin directory -p PLUGIN [PLUGIN ...] Plugin(s) to run. For a list of options use --info -f FILE Memory image file to run plugin on -k KDBG KDBG address for the images (in hex) --db DB SQLite db file, for efficient input/output --profile PROFILE Volatility profile for the images (e.g. WinXPSP2x86) --debug Print debugging statements --info Print available volatility profiles, plugins --tsv Print screen formatted output. --grepable Print in grepable text format --filter FILTER Filter results on name:value pair, e.g., pid:42 --filtertype FILTERTYPE Filter match type; either "exact" or "partial", defaults to partial --diff BASELINE Diff the imageFile|db with this db file as a baseline -u FIELD [FIELD ...] Use the specified fields to determine uniqueness of memobjs when diffing --warnings Look for suspicious objects. -q Query the supplied db (via --db).

### Plugins soportados <a name="plugins"/>

Ver #python damm.py --info

apihooks callbacks connections devicetree dlls evtlogs handles idt injections messagehooks mftentries modules mutants privileges processes services sids timers


### Ejemplo <a name="example"/>
Proporcione un perfil como en Volatility, una imagen de memoria y una lista de plugins para ejecutar (o 'all') para obtener la salida de terminal:```
python damm.py --profile WinXPSP2x86 -f memory.dmp -p processes | less -S
(or python damm.py --profile WinXPSP2x86 -f memory.dmp -p processes dlls modules)
(or python damm.py --profile WinXPSP2x86 -f memory.dmp -p all)

processes
offset   	name           	pid 	ppid	prio	image_path_name                                                              	create_time                 	exit_time                   	threads	session_id	handles	is_wow64	pslist	psscan	thrdproc	pspcid	csrss	session	deskthrd	command_line                                                                                                                                                                                                                                                                
0x25c8830	System         	4   	0   	8   	                                                                             	                            	                            	59     	          	403    	False   	True  	True  	True    	True  	False	False  	False
0x225ada0	alg.exe        	188 	668 	8   	C:\WINDOWS\System32\alg.exe                                                  	2010-10-29 17:09:09 UTC+0000	                            	6      	0         	107    	False   	True  	True  	True    	True  	True 	True   	True    	C:\WINDOWS\System32\alg.exe
0x2114938	ipconfig.exe   	304 	968 	8   	                                                                             	2011-06-03 04:31:35 UTC+0000	2011-06-03 04:31:36 UTC+0000	0      	0         	       	False   	True  	True  	False   	True  	False	False  	False
0x2086978	TSVNCache.exe  	324 	1196	8   	C:\Program Files\TortoiseSVN\bin\TSVNCache.exe                               	2010-10-29 17:11:49 UTC+0000	                            	7      	0         	54     	False   	True  	True  	True    	True  	True 	True   	True    	"C:\Program Files\TortoiseSVN\bin\TSVNCache.exe"
0x22df020	smss.exe       	376 	4   	11  	\SystemRoot\System32\smss.exe                                                	2010-10-29 17:08:53 UTC+0000	                            	3      	          	19     	False   	True  	True  	True    	True  	False	False  	False   	\SystemRoot\System32\smss.exe
...

Para que estos resultados persistan en una base de datos SQLite, solo proporciona un nombre de archivo para la base de datos:``` python damm.py --profile WinXPSP2x86 -f memory.dmp -p processes --db my_results.db

Esto imprimirá los resultados en la terminal y también los almacenará en 'my_results.db'

Para ver los resultados de nuevo:```
python damm.py -p processes --db my_results.db

(Nota: ya no necesitas la imagen de memoria ni especificar un perfil, y el listado aparecerá casi al instante sin importar cuánto tiempo haya tardado el procesamiento original.)

Si más adelante deseas ver procesos y otros plugins:``` python damm.py --profile WinXPSP2x86 -p processes dlls modules --db my_results.db

Hará:
 1. consultar la db para obtener la salida de 'processes'
 2. ejecutar los plugins 'dlls' y 'modules'
 3. mostrar los resultados
 4. almacenar los nuevos resultados en la db

Una vez que hayas almacenado algunos datos en una db, puedes consultarla con la opción -q```
python damm.py -q --db my_results.db 
profile:	WinXPSP2x86
memimg:	WinXPSP2x86/stuxnet.vmem
COMPUTERNAME:	JAN-DF663B3DBF1
plugins:	processes dlls modules

Los plugins tienen atributos que pueden tener tipos para filtrar, p. ej., para procesos: (usa --info para ver todos los atributos de los plugins)``` offset name : string pid : pid ppid : pid image_path_name : string command_line : string create_time exit_time threads session_id handles is_wow64 pslist psscan thrdproc pspcid csrss session deskthrd

These attributes and types can be leveraged by the differencing and filtering functions of DAMM