• Environ 30 plugins Volatility combinés en ~20 plugins DAMM (par exemple, pslist, psxview et d'autres éléments sont combinés en un plugin 'processes')
• Possibilité d'exécuter plusieurs plugins en une seule invocation
• Option de stocker les résultats des plugins dans des bases de données SQLite pour conservation ou analyse "en cache"
• Un système de filtrage/type permettant de filtrer facilement sur des attributs comme les pids pour voir toutes les informations liées à un processus, ainsi que la correspondance exacte ou partielle pour les chaînes, etc.
• La capacité d'afficher les différences entre deux bases de données de résultats pour les mêmes machines ou des machines similaires, et de manipuler depuis la ligne de commande le fonctionnement de la différenciation
• La capacité d'avertir sur certains types de comportements suspects
• Sortie pour terminal, TSV ou "grepable"

NOTE: Most DAMM output looks better piped through 'less -S' (upper 'S') as in:

python damm.py | less -S (for default output format)

python damm.py -h usage: damm.py [-h] [-d DIR] [-p PLUGIN [PLUGIN ...]] [-f FILE] [-k KDBG] [--db DB] [--profile PROFILE] [--debug] [--info] [--tsv] [--grepable] [--filter FILTER] [--filtertype FILTERTYPE] [--diff BASELINE] [-u FIELD [FIELD ...]] [--warnings] [-q]

DAMM v1.0 Beta

optional arguments: -h, --help show this help message and exit -d DIR Path to additional plugin directory -p PLUGIN [PLUGIN ...] Plugin(s) to run. For a list of options use --info -f FILE Memory image file to run plugin on -k KDBG KDBG address for the images (in hex) --db DB SQLite db file, for efficient input/output --profile PROFILE Volatility profile for the images (e.g. WinXPSP2x86) --debug Print debugging statements --info Print available volatility profiles, plugins --tsv Print screen formatted output. --grepable Print in grepable text format --filter FILTER Filter results on name:value pair, e.g., pid:42 --filtertype FILTERTYPE Filter match type; either "exact" or "partial", defaults to partial --diff BASELINE Diff the imageFile|db with this db file as a baseline -u FIELD [FIELD ...] Use the specified fields to determine uniqueness of memobjs when diffing --warnings Look for suspicious objects. -q Query the supplied db (via --db).

### Plugins pris en charge <a name="plugins"/>

Voir #python damm.py --info

apihooks callbacks connections devicetree dlls evtlogs handles idt injections messagehooks mftentries modules mutants privileges processes services sids timers


### Exemple <a name="example"/>
Fournissez un profil comme dans Volatility, une image mémoire et une liste de plugins à exécuter (ou 'all') pour obtenir la sortie terminal :```
python damm.py --profile WinXPSP2x86 -f memory.dmp -p processes | less -S
(or python damm.py --profile WinXPSP2x86 -f memory.dmp -p processes dlls modules)
(or python damm.py --profile WinXPSP2x86 -f memory.dmp -p all)

processes
offset   	name           	pid 	ppid	prio	image_path_name                                                              	create_time                 	exit_time                   	threads	session_id	handles	is_wow64	pslist	psscan	thrdproc	pspcid	csrss	session	deskthrd	command_line                                                                                                                                                                                                                                                                
0x25c8830	System         	4   	0   	8   	                                                                             	                            	                            	59     	          	403    	False   	True  	True  	True    	True  	False	False  	False
0x225ada0	alg.exe        	188 	668 	8   	C:\WINDOWS\System32\alg.exe                                                  	2010-10-29 17:09:09 UTC+0000	                            	6      	0         	107    	False   	True  	True  	True    	True  	True 	True   	True    	C:\WINDOWS\System32\alg.exe
0x2114938	ipconfig.exe   	304 	968 	8   	                                                                             	2011-06-03 04:31:35 UTC+0000	2011-06-03 04:31:36 UTC+0000	0      	0         	       	False   	True  	True  	False   	True  	False	False  	False
0x2086978	TSVNCache.exe  	324 	1196	8   	C:\Program Files\TortoiseSVN\bin\TSVNCache.exe                               	2010-10-29 17:11:49 UTC+0000	                            	7      	0         	54     	False   	True  	True  	True    	True  	True 	True   	True    	"C:\Program Files\TortoiseSVN\bin\TSVNCache.exe"
0x22df020	smss.exe       	376 	4   	11  	\SystemRoot\System32\smss.exe                                                	2010-10-29 17:08:53 UTC+0000	                            	3      	          	19     	False   	True  	True  	True    	True  	False	False  	False   	\SystemRoot\System32\smss.exe
...

Pour que ces résultats persistent dans une base de données SQLite, fournissez simplement un nom de fichier pour la db :``` python damm.py --profile WinXPSP2x86 -f memory.dmp -p processes --db my_results.db

Cela affichera les résultats dans le terminal et les stockera dans 'my_results.db'

Pour voir les résultats à nouveau :```
python damm.py -p processes --db my_results.db

(Notez que vous n'avez plus besoin de l'image mémoire ni de spécifier un profil, et la liste apparaîtra presque instantanément, quelle que soit la durée du traitement initial.)

Si vous souhaitez voir les processus et autres plugins ultérieurement :``` python damm.py --profile WinXPSP2x86 -p processes dlls modules --db my_results.db

Will:
 1. consulter la base de données pour la sortie 'processes'
 2. exécuter les plugins 'dlls' et 'modules'
 3. afficher les résultats
 4. stocker les nouveaux résultats dans la base de données

Une fois que vous avez stocké des données dans une base de données, vous pouvez les interroger avec le commutateur -q.```
python damm.py -q --db my_results.db 
profile:	WinXPSP2x86
memimg:	WinXPSP2x86/stuxnet.vmem
COMPUTERNAME:	JAN-DF663B3DBF1
plugins:	processes dlls modules

Les plugins ont des attributs qui peuvent avoir des types pour le filtrage, par exemple pour les processus : (utilisez --info pour voir tous les attributs des plugins)``` offset name : string pid : pid ppid : pid image_path_name : string command_line : string create_time exit_time threads session_id handles is_wow64 pslist psscan thrdproc pspcid csrss session deskthrd

Ces attributs et types peuvent être exploités par les fonctions de différenciation et de filtrage de DAMM