INSTALL LiME
function init_lime(){

  if [ -f /usr/bin/yum ]; then
    yum -y install make kernel-headers kernel-devel gcc
  elif [ -f /usr/bin/apt-get ]; then
    apt-add-repository universe
    apt-get -y install make linux-headers-$(uname -r) gcc
  fi

  rm -f /tmp/v1.8.1.zip
  wget -P/tmp https://github.com/504ensicsLabs/LiME/archive/v1.8.1.zip
  unzip /tmp/v1.8.1.zip
  rm -f /tmp/v1.8.1.zip

  pushd LiME-1.8.1/src
    make
    mv lime-*.ko /tmp/lime.ko
  popd
  rm -rf LiME-1.8.1
}

   1)Información del sistema, IP, Fecha, Hora, Zona horaria local, último arranque - 'hostnamectl; who -b; uname -a; uptime; ifconfig; date; last reboot'

    1)Verificar sistemas de archivos montados - 'df -h'
    2)Hash de ejecutables (MD5) - 'find /usr/bin -type f -exec file "{}" \; | grep -i "elf" | cut -f1 -d: | xargs -I "{}" -n 1 md5sum {}'
    3)Archivos modificados - 'modified_files_period_select' (llamando a una función en tuxresponse.sh)
    4)Listar todos los directorios ocultos - 'find / -type d -name "\.*"'
    5)Archivos/directorios sin nombre de usuario/grupo - 'find / \( -nouser -o -nogroup \) -exec ls -l {} \; 2>/dev/null'
    6)Archivos cambiados de paquetes -'packaged_files_changed' (llamando a una función en tuxresponse.sh)

      1) Verificar rootkits - ejecuta 'chkrootkit'
      2) Escaneo Yara - llamando a una función tuxresponse.sh 'yara_select' (escanea el sistema con todas las reglas YARA de Linux disponibles en el repositorio principal)
      3) EXIFTool - llamando a una función tuxresponse.sh 'exiftool_select' (instala EXIFTool)

      1) Listar procesos en ejecución - 'ps -axu'
      2) Binarios eliminados aún en ejecución - 'ls -alR /proc/*/exe 2> /dev/null | grep deleted'
      3) Conexiones de red activas (TCP, UDP) - 'ss -tunap | sed "s/[ \t]\+/|/g"'
      4) Volcar proceso basado en PID - 'dump_process_select' (llamando a una función en tuxresponse.sh)
          1) Ingrese el PID a volcar: **(este es el comando ejecutado - gcore -a -o "${DUMP_FILE}" ${DUMP_PID} )**
      5) Procesos ejecutándose desde /tmp, /dev - 'ls -alR /proc/*/cwd 2> /dev/null | grep -E "tmp|dev"'

      1) Listar todas las conexiones de red activas/sockets sin procesar - 'netstat -nalp; netstat -plant'
      

      1) Listar todos los usuarios conectados al sistema - 'w' 
      2) Obtener usuarios con contraseñas - 'getent passwd'

      1) Verificar el archivo de historial de bash - 'cat ~/.bash_history | nl'
      

      1) Listar todos los trabajos cron - 'list_all_crontab' (llamando a una función en tuxresponse.sh)
      2) Listar todos los programas de inicio/arranque - 'list_all_onstartup' (llamando a una función en tuxresponse.sh)
   

      1) Volcar .bash_history de usuarios - 'cat_all_bash_history' (llamando a una función en tuxresponse.sh)
      2) Encontrar registros con contenido binario - 'grep [[:cntrl:]] /var/log/*.log'

      Esa opción le permite conectarse a un sistema remoto, copiar todos los scripts y herramientas y analizar el sistema.
      

      Esa opción le permite compilar LiME desde el código fuente y volcar la memoria RAM del sistema. Esta es la forma más fácil de hacerlo, ya que la alternativa sería compilar desde el código fuente para todas las versiones principales del kernel e insertar el LKM.

That option enables you to do a full disk image of the target system using well-known tool - dd. The function is taking source and destination as parameters and inserts them in the following command 'dd if=${IMAGE_IN} | pv | dd of='${IMAGE_OUT}' bs=4K conv=noerror,sync'. If you're investigating remote system, the script is going to copy itself there. Then if the parameter ${TARGET_HOST} is set, then the script is going to download the image to analyst system using this command >> "ssh -p${TARGET_PORT} ${TARGET_USER}@${TARGET_HOST} 'dd if=${IMAGE_IN} bs=4K conv=noerror,sync' | pv | dd of='${IMAGE_OUT}'" (im heavily using pv to make sure progress is tracked)

      Instalar los binarios que el script necesita para funcionar correctamente.
      1) Dependencias
      2) Yara y reglas
      3) ExifTool
      4) Verificación de inicio
      5) chckrootkit
      6) LiME