MemProcFS:

MemProcFS भौतिक मेमोरी को वर्चुअल फाइल सिस्टम में फाइलों के रूप में देखने का एक आसान और सुविधाजनक तरीका है।

जटिल कमांडलाइन तर्कों की आवश्यकता के बिना आसान, सरल क्लिक-और-पॉइंट मेमोरी विश्लेषण! माउंटेड वर्चुअल फाइल सिस्टम में फाइलों के माध्यम से या अपने स्वयं के प्रोजेक्ट्स में शामिल करने के लिए फीचर-समृद्ध एप्लिकेशन लाइब्रेरी के माध्यम से मेमोरी सामग्री और आर्टिफैक्ट्स तक पहुंचें!

मेमोरी डंप फाइलों का विश्लेषण करें, DumpIt या WinPMEM के माध्यम से लाइव मेमोरी, वर्चुअल मशीनों से या PCILeech FPGA हार्डवेयर उपकरणों से रीड-राइट मोड में लाइव मेमोरी!

सुरक्षित कनेक्शन पर दूरस्थ LeechAgent मेमोरी अधिग्रहण एजेंट से जुड़ना भी संभव है - जो दूरस्थ लाइव मेमोरी घटना प्रतिक्रिया की अनुमति देता है - यहां तक कि उच्च विलंबता वाले कम बैंड-चौड़ाई कनेक्शन पर भी! वर्चुअल मशीनों के साथ MemProcFS, LiveCloudKd या VMware में झांकें!

मेमोरी का विश्लेषण करने के लिए अपने पसंदीदा टूल का उपयोग करें - अपने पसंदीदा हेक्स एडिटर, अपनी python और powershell स्क्रिप्ट, WinDbg या अपने पसंदीदा डिसअसेंबलर और डीबगर का उपयोग करें - ये सभी केवल फाइलों को पढ़ने और लिखने से MemProcFS के साथ आसानी से काम करेंगे!

आरंभ करें!

शुरू करने के लिए 13Cubed से उत्कृष्ट त्वरित वॉकथ्रू देखें! Disobey और BlueHat से मेरे पुराने सम्मेलन वार्तालाप भी देखें।

अतिरिक्त दस्तावेज़ीकरण के लिए फाइल सिस्टम, इसके API और इसके प्लगइन मॉड्यूल के बारे में गहन विस्तृत जानकारी के लिए प्रोजेक्ट विकी देखें! मेमोरी अधिग्रहण विधियों के बारे में अतिरिक्त जानकारी के लिए LeechCore प्रोजेक्ट देखें या PCILeech/MemProcFS Discord सर्वर में शामिल हों!

शुरू करने के लिए नवीनतम बाइनरी, मॉड्यूल और कॉन्फ़िगरेशन फाइलें डाउनलोड करें और गाइड देखें!

स्थापना:

नवीनतम रिलीज़ से बाइनरी, मॉड्यूल और कॉन्फ़िगरेशन फाइलें प्राप्त करें। वैकल्पिक रूप से रिपॉजिटरी को क्लोन करें और स्रोत से निर्माण करें।

Windows

फाइल सिस्टम को माउंट करने के लिए Dokany फाइल सिस्टम लाइब्रेरी स्थापित होना आवश्यक है। Dokany संस्करण 2 का नवीनतम संस्करण डाउनलोड और इंस्टॉल करें: https://github.com/dokan-dev/dokany/releases/latest

लाइव मेमोरी कैप्चर करने के लिए (PCILeech FPGA हार्डवेयर के बिना) DumpIt डाउनलोड करें और DumpIt /LIVEKD मोड के माध्यम से MemProcFS शुरू करें। वैकल्पिक रूप से, सबसे हालिया हस्ताक्षरित WinPMEM ड्राइवर डाउनलोड करके WinPMEM प्राप्त करें और इसे MemProcFS के साथ रखें - विस्तृत निर्देश LeechCore Wiki में हैं।

PCILeech FPGA के लिए हार्डवेयर के साथ-साथ MemProcFS बाइनरी के साथ FTD3XXWU.dll डालने की आवश्यकता होगी। निर्देशों के लिए कृपया LeechCore प्रोजेक्ट देखें।

Linux

MemProcFS को FUSE स्थापित अधिकांश Linux डिस्ट्रोस पर आउट-ऑफ-द-बॉक्स चलाना संभव होना चाहिए। यदि स्रोत से निर्माण कर रहे हैं तो Linux पर MemProcFS के बारे में गाइड देखें।

macOS

नवीनतम MemProcFS रिलीज़ यहां से डाउनलोड करें। माउंटेड वर्चुअल फाइल सिस्टम के रूप में उपयोग किए जाने पर MemProcFS macFuse पर निर्भर करता है जिसके लिए .kext की आवश्यकता होती है। macFuse को यहां से डाउनलोड और इंस्टॉल करें। यदि MemProcFS समर्थित C/C++/Rust APIs के माध्यम से उपयोग किया जाता है तो macFuse आवश्यक नहीं है।

व्यापक Python, Rust, Java, Go, C# और C/C++ API:

अपने C/C++, C#, Java, Go (तृतीय-पक्ष), Python या Rust प्रोग्रामिंग प्रोजेक्ट्स में MemProcFS शामिल करें! MemProcFS में सब कुछ आपके स्वयं के प्रोजेक्ट्स में उपयोग के लिए उपयोग में आसान API के माध्यम से उजागर किया गया है! प्लगइन-अनुकूल आर्किटेक्चर उपयोगकर्ताओं को C/C++/Rust/Python प्लगइन्स के साथ MemProcFS को आसानी से विस्तारित करने की अनुमति देता है!

MemProcFS में सब कुछ APIs के रूप में उजागर किया गया है। APIs C/C++ vmmdll.h, C# nuget पैकेज, Java, Python pip पैकेज और Rust crate के लिए मौजूद हैं। फाइल सिस्टम स्वयं इसे माउंट करने की आवश्यकता के बिना API के माध्यम से वस्तुतः उपलब्ध कराया जाता है। वर्चुअल प्रोसेस मेमोरी के साथ-साथ भौतिक मेमोरी दोनों को पढ़ना संभव है! नीचे दिया गया उदाहरण भौतिक पते 0x1000 से 0x20 बाइट्स पढ़ना दिखाता है:

>>> import memprocfs
>>> vmm = memprocfs.Vmm(['-device', 'c:/temp/win10_memdump.raw'])
>>> print(vmm.hex( vmm.memory.read(0x1000, 0x20) ))
0000    e9 4d 06 00 01 00 00 00  01 00 00 00 3f 00 18 10   .M..........?...
0010    00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00   ................

MemProcFS एक Python pip पैकेज के रूप में उपलब्ध है और इसे अपने Jupyter Notebooks में एकीकृत करना आसान है।

उदाहरण:

कमांड लाइन से MemProcFS शुरू करें - संभवतः नीचे दिए गए उदाहरणों में से एक का उपयोग करके।

या मेमोरी डंप फाइल एक्सटेंशन को MemProcFS.exe के साथ पंजीकृत करें ताकि मेमोरी डंप फाइल पर डबल-क्लिक करने पर फाइल सिस्टम स्वचालित रूप से माउंट हो जाए!

• मेमोरी डंप फाइल को डिफ़ॉल्ट M: के रूप में माउंट करें:
  memprocfs.exe -device c:\temp\win10x64-dump.raw
• मेमोरी डंप फाइल को डिफ़ॉल्ट M: के रूप में अतिरिक्त वर्बोसिटी के साथ माउंट करें:
  memprocfs.exe -device c:\temp\win10x64-dump.raw -v
• मेमोरी डंप फाइल को डिफ़ॉल्ट M: के रूप में माउंट करें और फोरेंसिक मोड शुरू करें:
  memprocfs.exe -device c:\temp\win10x64-dump.raw -forensic 1
• मेमोरी डंप फाइल को डिफ़ॉल्ट M: के रूप में माउंट करें और yara स्कैन के साथ फोरेंसिक मोड शुरू करें:
  memprocfs.exe -device c:\temp\win10x64-dump.raw -forensic 1 -forensic-yara-rules c:\yara\rules\windows_malware_index.yar
• मेमोरी डंप फाइल को Linux पर /home/pi/mnt/ के रूप में माउंट करें:
  ./memprocfs -mount /home/pi/linux -device /dumps/win10x64-dump.raw
• मेमोरी डंप फाइल को S: के रूप में माउंट करें:
  memprocfs.exe -mount s -device c:\temp\win10x64-dump.raw
• WinPMEM ड्राइवर के साथ, रीड-ओनली मोड में, लाइव टारगेट मेमोरी माउंट करें:
  memprocfs.exe -device pmem
• PCILeech FPGA मेमोरी अधिग्रहण डिवाइस के साथ, रीड/राइट मोड में, लाइव टारगेट मेमोरी माउंट करें:
  memprocfs.exe -device fpga -memmap auto
• संबंधित पेज फाइलों के साथ एक मेमोरी डंप माउंट करें:
  memprocfs.exe -device unknown-x64-dump.raw -pagefile0 pagefile.sys -pagefile1 swapfile.sys

PCILeech और MemProcFS समुदाय:

यह सब थोड़ा भारी लग रहा है? या बस एक त्वरित प्रश्न पूछना चाहते हैं? Discord पर PCILeech और MemProcFS DMA समुदाय सर्वर में शामिल हों!

निर्माण:

पूर्व-निर्मित बाइनरी, मॉड्यूल और कॉन्फ़िगरेशन फाइलें नवीनतम रिलीज़ में पाई जाती हैं। MemProcFS बाइनरी Visual Studio 2022 और Ubuntu x64/AARCH64 के साथ बनाई गई हैं।

विस्तृत निर्माण निर्देश Wiki के Building अनुभाग में पाए जा सकते हैं।

लाइसेंस:

प्रोजेक्ट स्रोत कोड इसके तहत जारी किया गया है: GNU Affero General Public License v3.0। कुछ बंडल किए गए निर्भरताएं और प्लगइन्स GPLv3 के तहत जारी किए गए हैं। कुछ बंडल किए गए Microsoft पुनर्वितरण योग्य बाइनरी अलग लाइसेंस के तहत जारी किए गए हैं। अनुरोध पर वैकल्पिक लाइसेंसिंग संभव हो सकती है।

योगदान:

PCILeech, MemProcFS और LeechCore ओपन सोर्स हैं लेकिन खुले योगदान नहीं हैं। PCILeech, MemProcFS और LeechCore एक अत्यधिक लचीला प्लगइन आर्किटेक्चर प्रदान करते हैं जो प्लगइन्स के रूप में योगदान की अनुमति देगा। यदि आप प्लगइन के अलावा कोर प्रोजेक्ट्स में योगदान करना चाहते हैं, तो कृपया विकास शुरू करने से पहले मुझसे संपर्क करें।

लिंक:

• Twitter:
• Discord:
• PCILeech: https://github.com/ufrisk/pcileech
• PCILeech FPGA: https://github.com/ufrisk/pcileech-fpga
• LeechCore: https://github.com/ufrisk/LeechCore
• MemProcFS: https://github.com/ufrisk/MemProcFS
• ब्लॉग: http://blog.frizk.net

लिंक - संबंधित प्रोजेक्ट्स:

• MemProcFS-Analyzer एक तृतीय-पक्ष PowerShell एप्लिकेशन है जिसका उपयोग MemProcFS के उपयोग को सरल बनाने और आपके मेमोरी विश्लेषण वर्कफ़्लो को अनुकूलित करने के लिए किया जाता है। MemProcFS-Analyzer को LETHAL-FORENSICS में @evild3ad द्वारा बनाए रखा गया है।

परिवर्तन लॉग:

v5.16

• बग फिक्स।
• Windows 11 25H2 के लिए समर्थन

v5.17

• Windows 11 26H1 के लिए समर्थन।
• बेहतर रजिस्ट्री पार्सिंग।
• API में नए रीफ्रेश विकल्प।
• API में नया वैकल्पिक लॉगिंग कॉलबैक।
• फाइल पथों में गैर-ASCII वर्णों के लिए समर्थन।

v5.18

• बग फिक्स।
• नया मॉड्यूल: Windows Terminal पार्सर (Win11+)।
• नया फोरेंसिक मॉड्यूल: amcache पार्सर (Win10+)।
• PTE मानचित्र ऊपरी सीमा 65536 से 131072 तक समायोजित।
• फिक्स: WSL माउंटेड MemProcFS (drvfs) में फाइल लेखन अब काम करता है।

नवीनतम:

• बग फिक्स।
• फिक्स: हीप रिकवरी अब Windows 11 24H2 और बाद में काम करती है।
• फिक्स: पूल और हीप पार्सिंग में सुधार।
• फिक्स: संपीड़ित मेमोरी पुनर्प्राप्ति दरों में सुधार।
• नया मॉड्यूल: /sys/eventlog (Windows इवेंट लॉग रिकवरी)।