LiMEaide

v2.0

par Daryl Bennett - kd8bny[at]gmail[dot]com

À propos

LiMEaide est une application Python conçue pour extraire la RAM d’un client Linux à distance ou localement et créer un profil Volatility pour une analyse ultérieure sur votre hôte local. J’espère que cela simplifiera la criminalistique Linux dans un environnement distant. Pour utiliser LiMEaide, il vous suffit de fournir l’adresse IP d’un client Linux distant, de vous asseoir et de déguster votre boisson caféinée préférée.

LiMEaide propose 3 modes de fonctionnement principaux

1. À distance – Établit une connexion SSH et transfère les données via SFTP
2. Socket – Établit une connexion SSH mais transfère l’image mémoire via une socket TCP. Cela signifie que l’image n’est PAS écrite sur le disque. Les outils sont toujours transférés via SFTP.
3. Local – Avoir une copie de LiMEaide sur une clé USB ou un autre périphérique. Ne transfère aucune donnée au client, exécution maintenue dans son répertoire de travail. Tous les transferts sont effectués avec des méthodes internes et aucune socket réseau n’est ouverte.

Wiki

Pour une utilisation plus détaillée, consultez le wiki

Comment faire

TL;DR

À distance

python3 limeaide.py <IP>

et la magie opère.

Local

python3 limeaide.py local

et la magie locale opère.

Le transfert local nécessite que la machine ait Python 3 installé ainsi que les dépendances. Je recommande d’utiliser python3-virtualenv pour fournir les dépendances sans les installer sur le système.

Utilisation détaillée

limeaide.py [OPTIONS] REMOTE_IP
-h, --help
    Affiche l’aide

-u, --user : <utilisateur>
    Exécuter la capture mémoire en tant qu’utilisateur sudo. Utile lorsque les privilèges root ne sont pas accordés.

-k, --key : <chemin vers la clé> 
    Utiliser une clé SSH pour la connexion

-s, --socket : <port> 
    Utiliser une socket TCP au lieu d’une session SFTP pour transférer les données. N’écrit pas l’image mémoire sur le disque, mais transférera les autres fichiers nécessaires.

-o, --output : <nom souhaité pour la sortie> 
    Nommer le fichier de sortie

-f, --format : <format pour LiME>
    Modifier le format de sortie. Options valides : raw|lime|padded

-d, --digest : <algorithme de hachage>
    Utiliser un algorithme de hachage différent. Voir la documentation de LiME pour les options valides.
    Utiliser 'None' pour désactiver.

-C, --compress
    Compresser le transfert sur le réseau. Ne fonctionne pas avec les transferts par socket ou locaux.

-p, --profile : <distribution> <version du noyau> <architecture>
    Ignorer le profileur en fournissant la distribution, la version du noyau et l’architecture du client distant.

-N, --no-profiler
    NE PAS exécuter le profileur et forcer la création d’un nouveau module/profil pour le client.

-c, --case : <numéro de cas>
    Ajouter le numéro de cas au début du répertoire de sortie.

-v, --verbose
    Afficher la sortie détaillée

--force-clean
    Si une tentative précédente a échoué, nettoyer le client

• Pour une utilisation plus détaillée, consultez le wiki
• Pour modifier le fichier de configuration, voir ici
• Pour importer des modules ou des modules externes, copiez simplement le module *.ko dans le répertoire des profils. Après avoir copié, exécutez LiMEaide et le profileur reconnaîtra le nouveau profil.

./profiles/

Configuration

Dépendances

python

• Base DEB

sudo apt-get install python3-paramiko python3-termcolor

• Base RPM

sudo yum install python3-paramiko python3-termcolor

• pip3

sudo pip3 install paramiko termcolor

Installation de dwarfdump

Pour construire un profil Volatility, nous devons être capables de lire les symboles de débogage dans le LKM. Pour cela, nous devons installer dwarfdump. Si vous rencontrez des problèmes pour trouver/installer dwarfdump, consultez la page volatility ici

• Gestionnaire de paquets DEB

sudo apt-get install dwarfdump

• Gestionnaire de paquets RPM

sudo yum install libdwarf-tools

LiME

Installation automatique

Par défaut, LiMEaide télécharge automatiquement LiME et le place dans le bon répertoire. Cependant, si vous êtes déconnecté du réseau, procédez avec la méthode d’installation manuelle ci-dessous.

Installation manuelle de LiME

Pour utiliser LiME, vous devez télécharger et déplacer la source dans le répertoire LiMEaide/tools. Assurez-vous que le dossier LiME s’appelle LiME. Le chemin complet doit être le suivant :

LiMEaide/tools/LiME/

Comment faire...

1. Téléchargez LiME v1.8.1
2. Extrayez dans LiMEaide/tools/
3. Renommez le dossier en LiME

Limites actuelles

• Ne supporte que bash. Utilisez d’autres shells à vos risques et périls
• Les modules doivent être compilés sur le client distant. Par conséquent, le client distant doit avoir les en-têtes appropriés installés.
  • Sauf si vous suivez ce guide pour compiler des modules noyau externes. Une fois compilé, copiez le module .ko dans le répertoire des profils LiMEaide.

Remerciements et notes particulières

• L’idée de cette application s’appuie sur le concept imaginé par le projet Linux Memory Grabber
• Et bien sûr, rien de tout cela ne serait possible sans l’incroyable projet LiME