vol-rs

Volatility 3 मेमोरी फोरेंसिक फ्रेमवर्क का Python से Rust में एक पोर्ट। यह समान मेमोरी इमेज पढ़ता है, समान विकल्पों के साथ समान प्लगइन चलाता है, और समान आउटपुट प्रिंट करता है, बाइट दर बाइट, काफी तेज़ी से।

लाइसेंस

यह प्रोजेक्ट Volatility 3 का एक पोर्ट है और इसलिए Volatility सॉफ्टवेयर लाइसेंस 1.0 के तहत एक "Addition" है, इसलिए इसे उसी लाइसेंस के तहत प्रकाशित किया गया है। पूरा पाठ LICENSE में है और ऑनलाइन https://www.volatilityfoundation.org/license/vsl-v1.0 पर उपलब्ध है। हर स्रोत फ़ाइल में वह नोटिस रहता है जो दर्ज करता है कि वह किससे व्युत्पन्न हुई है।

यह प्रोजेक्ट Volatility Foundation से संबद्ध या समर्थित नहीं है। Volatility नाम का उपयोग केवल यह बताने के लिए किया गया है कि यह किसका पोर्ट है।

निर्माण

Rust 1.85 या नया, फिर:

cargo build --release

बाइनरी target/release/vol-rs पर स्थित होती है। कुछ भी वैकल्पिक आवश्यक नहीं है। सिंबल डीकंप्रेसन, RC4, DES, AES, YARA मिलान, x86 डिसअसेंबली, PNG लेखन और tar संग्रह सभी निर्मित हैं, जहाँ Python संस्करण pycryptodomex, yara-python, capstone और pillow का उपयोग करता है।

उपयोग

./target/release/vol-rs -f memory.raw windows.pslist.PsList
./target/release/vol-rs -f memory.lime linux.bash.Bash
./target/release/vol-rs -f memory.raw -r csv windows.netscan.NetScan
./target/release/vol-rs windows.malfind.Malfind --help
./target/release/vol-rs --list-plugins

Python संस्करण द्वारा लिया जाने वाला हर विकल्प यहाँ भी लिया जाता है, समान नामों और समान डिफ़ॉल्ट के साथ, जिसमें -o, -r, -s, -c, -e, --filters, --hide-columns, --save-config, --stackers और --single-swap-locations शामिल हैं। प्रत्येक प्लगइन के अपने विकल्प भी मेल खाते हैं, जो सहायता पृष्ठ दिखाते हैं: सभी 197 Python वाले के समान हैं, अक्षर दर अक्षर।

सिंबल

सिंबल पैक $XDG_DATA_HOME/vol-rs/symbols में जाते हैं, या ~/.local/share/vol-rs/symbols में जब वह चर सेट नहीं होता है। कहीं और का पैक --symbol-dirs के साथ या VOLRS_SYMBOL_PATH पर्यावरण चर के माध्यम से नामित किया जाता है। Windows सिंबल मांग पर Microsoft सिंबल सर्वर से लाए जाते हैं और ~/.cache/vol-rs के अंतर्गत कैश किए जाते हैं।

क्या जाँचा गया है

दोनों पक्षों को समान कैप्चर के विरुद्ध चलाया गया और अंतर किया गया, हेडर फ्रेमिंग और अनुगामी नई पंक्तियों सहित:

आठ फ़ाइलें जो समान नहीं पाई गईं, वे नीचे ज्ञात अंतरों के अंतर्गत सूचीबद्ध दो मामले हैं। सात आंशिक फ़ाइलें हैं जिन्हें Python संस्करण डिस्क पर छोड़ देता है जब यह रिपोर्ट करता है कि वह उन्हें डंप नहीं कर सका, जिन्हें यह पोर्ट नहीं बनाता है, और एक टारबॉल है जिसकी सामग्री मेल खाती है लेकिन जिसके टाइमस्टैम्प दर्ज करते हैं कि प्रत्येक रन कब हुआ।

उन गणनाओं से लापता दो प्लगइन वे हैं जिन्हें Python संस्करण परीक्षण मशीन पर पूरा नहीं कर सकता है। windows.memmap.Memmap को 7.8 मिलियन पंक्तियों के बाद आउट ऑफ मेमोरी किलर द्वारा मार दिया जाता है, और linux.pscallstack.PsCallStack को समाप्त होने से पहले मार दिया जाता है। दोनों मामलों में Python संस्करण द्वारा पहले लिखी गई हर पंक्ति बिल्कुल पुनरुत्पादित की जाती है।

हर प्लगइन में जो बिना तर्कों के चलता है, Windows स्वीप यहाँ 273 सेकंड लेता है जबकि 5723 सेकंड के विरुद्ध, और Linux स्वीप 68 सेकंड जबकि 3130 सेकंड के विरुद्ध।

गति

प्रत्येक कैप्चर पर दस सबसे बड़े अंतराल, हर प्लगइन में से जो बिना तर्कों के चलता है:

Windows

Linux

BENCHMARKS.md में बाकी है: दोनों कैप्चर पर हर प्लगइन, तर्क लेने वाले रन, और वह मशीन जिस पर संख्याएँ मापी गईं।

ज्ञात अंतर

कुछ चीज़ें मेल नहीं खा सकतीं, और प्रत्येक जानबूझकर है:

• linux.pagecache.RecoverFs अपने द्वारा लिखे गए टारबॉल में हर फ़ाइल को उस क्षण के साथ स्टैम्प करता है जब प्लगइन चला, इसलिए कोई भी दो रन सहमत नहीं होते, यहाँ तक कि दो Python रन भी नहीं। तालिका मेल खाती है और अनपैक्ड ट्री भी।
• --save-config और timeliner --record-config हर सेटिंग दर्ज करते हैं जो इमेज का वर्णन करती है, लेकिन Python संस्करण की जाँच नहीं कि एक आयातित घटक पर्याप्त नया है, क्योंकि इस पोर्ट में दर्ज करने के लिए ऐसी कोई जाँच नहीं है।
• linux.mountinfo --mount-format एक Python सेट को जोड़ता है, इसलिए इसका कॉलम क्रम दो Python रनों के बीच बदलता है। यह पोर्ट माउंट विकल्पों को पहले और फ़ाइलसिस्टम विकल्पों को बाद में सूचीबद्ध करता है, उस क्रम में जिसमें कर्नेल उन्हें रखता है।
• frameworkinfo और isfinfo इमेज के बजाय उपकरण का वर्णन करते हैं, इसलिए वे इस पोर्ट की अपनी परतों, प्लगइन और सिंबल फ़ाइलों की रिपोर्ट करते हैं।
• windows.dumpfiles उन आंशिक फ़ाइलों को पीछे नहीं छोड़ता जिन्हें Python संस्करण बनाता है इससे पहले कि वह पता लगाए कि वह उन्हें पढ़ नहीं सकता। तालिकाएँ सहमत हैं, निर्देशिकाएँ उन फ़ाइलों द्वारा भिन्न हैं।
• --help में कैश निर्देशिका का नाम देने वाली पंक्ति इस पोर्ट की अपनी कैश का नाम देती है।

करने के लिए

नीचे सब कुछ पोर्ट किया गया है और बनता है, लेकिन अभी तक वास्तविक साक्ष्य के विरुद्ध नहीं चलाया गया है:

• वास्तविक Mac कैप्चर के विरुद्ध 23 macOS प्लगइन का परीक्षण करें। सभी 23 को Python स्रोत के विरुद्ध पंक्ति दर पंक्ति पढ़ा गया, और उनके द्वारा छूए गए हर प्रकार, सदस्य और सिंबल को 10.10 से 10.15 को कवर करने वाली 129 प्रकाशित Darwin सिंबल फ़ाइलों के विरुद्ध जाँचा गया, इसलिए संस्करण फ़ॉलबैक पूर्ण होने के लिए जाने जाते हैं। जो बचा है वह उन्हें चलाने के लिए एक वास्तविक Mac इमेज है।
• 32 बिट इमेज का परीक्षण करें। अब तक का सारा सत्यापन 64 बिट कैप्चर का उपयोग करता था, इसलिए Intel32 और PAE पेजिंग पथों में केवल यूनिट परीक्षण कवरेज है।
• अन्य इमेज प्रारूपों का परीक्षण करें। केवल VMware और LiME कैप्चर का उपयोग किया गया है, इसलिए crash dump, AVML, QEMU, ELF core और Xen परतें अभी भी वास्तविक फ़ाइलों पर अप्रमाणित हैं।
• अधिक कर्नेल संस्करणों का परीक्षण करें। एक Windows 10 19045 और एक Linux 6.8 कैप्चर एक संकीर्ण आधार है, और संस्करण-विशिष्ट संरचनाओं को पढ़ने वाले प्लगइन वे हैं जहाँ एक पोर्ट के विचलित होने की सबसे अधिक संभावना है।
• arrow और parquet रेंडरर जोड़ें। वे कमांड लाइन पर स्वीकार किए जाते हैं और अस्वीकार कर दिए जाते हैं, जो Python संस्करण करता है जब उसकी तालिका लाइब्रेरी गायब होती है।

श्रेय

Volatility 3 Volatility Foundation और उसके योगदानकर्ताओं का काम है। यह उनके डिज़ाइन, उनके प्लगइन सेट और उनके आउटपुट प्रारूप का एक पोर्ट है, और यह इसलिए मौजूद है क्योंकि वह काम खुला है।