PCILeech सारांश:

PCILeech PCIe हार्डवेयर उपकरणों का उपयोग करके लक्ष्य सिस्टम मेमोरी को पढ़ने और लिखने के लिए काम करता है। यह PCIe पर DMA का उपयोग करके प्राप्त किया जाता है। लक्ष्य सिस्टम पर किसी ड्राइवर की आवश्यकता नहीं है।

PCILeech बिना हार्डवेयर के भी काम करता है, साथ ही LeechCore लाइब्रेरी द्वारा समर्थित सॉफ्टवेयर मेमोरी अधिग्रहण विधियों की एक विस्तृत श्रृंखला के साथ - जिसमें DumpIt या WinPmem का उपयोग करके रिमोट लाइव मेमोरी कैप्चर करना शामिल है। PCILeech स्थानीय मेमोरी कैप्चर और कई मेमोरी डंप फ़ाइल प्रारूपों का भी समर्थन करता है।

PCILeech कई मेमोरी अधिग्रहण उपकरणों का समर्थन करता है। दोनों हार्डवेयर और सॉफ्टवेयर आधारित। USB3380 आधारित हार्डवेयर केवल 4GB मेमोरी को मूल रूप से पढ़ सकता है, लेकिन यदि पहले लक्ष्य सिस्टम कर्नेल में एक कर्नेल मॉड्यूल (KMD) डाला जाता है तो सभी मेमोरी पढ़ सकता है। FPGA आधारित हार्डवेयर और सॉफ्टवेयर आधारित विधियाँ सभी मेमोरी पढ़ सकती हैं।

PCILeech लक्षित कर्नेल में कर्नेल इम्प्लांट की एक विस्तृत श्रृंखला डालने में सक्षम है - जो "माउंटेड ड्राइव" के माध्यम से लाइव रैम और फ़ाइल सिस्टम तक आसान पहुँच की अनुमति देता है। लॉगऑन पासवर्ड आवश्यकता को हटाना, अहस्ताक्षरित ड्राइवर लोड करना, कोड निष्पादित करना और सिस्टम शेल प्राप्त करना भी संभव है। PCIleech Windows और Linux पर चलता है। समर्थित लक्ष्य सिस्टम वर्तमान में x64 संस्करण हैं: UEFI, Linux, FreeBSD और Windows। इसके लिए मेमोरी तक लेखन पहुँच की आवश्यकता होती है (USB3380 हार्डवेयर, FPGA हार्डवेयर, LiveCloudKd या CVE-2018-1038 "Total Meltdown")।

शुरू करने के लिए रिपॉजिटरी में स्रोतों को क्लोन करें या नवीनतम बाइनरी, मॉड्यूल और कॉन्फ़िगरेशन फ़ाइलें डाउनलोड करें।

PCILeech के लिए PushPin GUI फ्रंटएंड सामान्य RedTeam कार्यों को बहुत आसान बनाता है। ध्यान दें कि PushPin आधिकारिक PCILeech वितरण का हिस्सा नहीं है।

क्षमताएं:

• लक्ष्य सिस्टम से >150MB/s पर मेमोरी प्राप्त करें।
• रिमोट LeechService से रिमोट मेमोरी प्राप्त करें।
• लक्ष्य सिस्टम मेमोरी में डेटा लिखें।
• 4GB मेमोरी को मूल DMA मोड (USB3380 हार्डवेयर) में एक्सेस किया जा सकता है।
• सभी मेमोरी को मूल DMA मोड (FPGA हार्डवेयर) में एक्सेस किया जा सकता है।
• यदि कर्नेल मॉड्यूल (KMD) लोड है तो सभी मेमोरी एक्सेस की जा सकती है।
• रॉ PCIe TLP एक्सेस (FPGA हार्डवेयर)।
• लाइव RAM को फ़ाइल के रूप में माउंट करें [Linux, Windows, macOS Sierra*]।
• फ़ाइल सिस्टम को ड्राइव के रूप में माउंट करें [Linux, Windows, macOS Sierra*]।
• लक्ष्य सिस्टम पर कर्नेल कोड निष्पादित करें।
• सिस्टम शेल और अन्य निष्पादनयोग्य उत्पन्न करें [Windows]।
• फ़ाइलें खींचें और धकेलें [Linux, FreeBSD, Windows, macOS Sierra*]।
• पैच / अनलॉक (पासवर्ड आवश्यकता हटाएं) [Windows, macOS Sierra*]।
• अपना स्वयं का कर्नेल शेलकोड और/या कस्टम हस्ताक्षर बनाना आसान।
• नेटवर्क पर एक रिमोट LeechAgent से कनेक्ट करें ताकि दूरस्थ रूप से:
  • नेटवर्क पर भौतिक मेमोरी डंप करें।
  • रिमोट होस्ट पर Python मेमोरी विश्लेषण स्क्रिप्ट निष्पादित करें।
• यहाँ सूचीबद्ध नहीं की गई और भी सुविधाएँ ...

*) macOS High Sierra और इसके बाद के संस्करण समर्थित नहीं हैं।

मेमोरी अधिग्रहण विधियाँ:

PCILeech हार्डवेयर आधारित और सॉफ्टवेयर आधारित दोनों मेमोरी अधिग्रहण विधियों का समर्थन करता है। सभी मेमोरी अधिग्रहण LeechCore लाइब्रेरी द्वारा संभाला जाता है।

हार्डवेयर आधारित मेमोरी अधिग्रहण विधियाँ:

कृपया नीचे सूचीबद्ध समर्थित हार्डवेयर आधारित मेमोरी अधिग्रहण विधियों का सारांश देखें। सभी हार्डवेयर आधारित मेमोरी अधिग्रहण विधियाँ Windows और Linux दोनों पर समर्थित हैं। FPGA आधारित विधियाँ हालांकि Linux पर थोड़ी कम प्रदर्शन करती हैं और अधिकतम लगभग 90MB/s तक पहुँचती हैं, जबकि Windows पर 150MB/s है।

सॉफ्टवेयर आधारित मेमोरी अधिग्रहण विधियाँ:

कृपया नीचे सूचीबद्ध समर्थित सॉफ्टवेयर आधारित मेमोरी अधिग्रहण विधियों का सारांश देखें। कृपया ध्यान दें कि LeechService केवल एक रिमोट LeechCore लाइब्रेरी से नेटवर्क कनेक्शन प्रदान करता है। एक बार कनेक्ट होने के बाद हार्डवेयर और सॉफ्टवेयर आधारित दोनों मेमोरी अधिग्रहण का उपयोग संभव है।

PCILeech स्थापित करना:

कृपया सुनिश्चित करें कि आपके पास PCILeech का सबसे नया संस्करण है, PCILeech GitHub रिपॉजिटरी पर जाकर: https://github.com/ufrisk/pcileech

नवीनतम रिलीज़ से नवीनतम बाइनरी, मॉड्यूल और कॉन्फ़िगरेशन फ़ाइलें प्राप्त करें। वैकल्पिक रूप से रिपॉजिटरी को क्लोन करें और स्रोत से बनाएँ।

Windows:

कृपया Windows पर PCILeech चलाने के बारे में जानकारी के लिए PCILeech on Windows गाइड देखें।

यदि USB3380 हार्डवेयर का उपयोग किया जाता है तो Google Android USB ड्राइवर स्थापित करना होगा। Google Android USB ड्राइवर यहाँ से डाउनलोड करें: http://developer.android.com/sdk/win-usb.html#download ड्राइवर को अनज़िप करें।
यदि FPGA का उपयोग FT601 USB3 ऐड-ऑन कार्ड या PCIeScreamer के साथ किया जाता है तो FTDI ड्राइवर स्थापित करने होंगे। FTDI से 64-bit FTD3XX.dll डाउनलोड करें और इसे pcileech.exe के साथ रखें।
Windows में लाइव रैम और लक्ष्य फ़ाइल सिस्टम को ड्राइव के रूप में माउंट करने के लिए Dokany2 फ़ाइल सिस्टम लाइब्रेरी स्थापित होनी चाहिए। कृपया Dokany2 का नवीनतम स्थिर संस्करण यहाँ से डाउनलोड और इंस्टॉल करें: https://github.com/dokan-dev/dokany/releases/latest

Linux:

कृपया Linux पर PCILeech चलाने के बारे में जानकारी के लिए PCILeech on Linux गाइड देखें।

उदाहरण:

अधिक उदाहरणों के लिए कृपया प्रोजेक्ट विकी पेज देखें। विकी निर्माण चरण में है और जानकारी अभी भी गायब हो सकती है।

लक्ष्य सिस्टम की लाइव RAM और फ़ाइल सिस्टम माउंट करें, इसके लिए KMD लोड होना आवश्यक है। इस उदाहरण में 0x11abc000 का उपयोग किया गया है।

• pcileech.exe mount -kmd 0x11abc000

किसी विशिष्ट कर्नेल इम्प्लांट के लिए सहायता दिखाएं, इस मामले में lx64_filepull कर्नेल इम्प्लांट।

• pcileech.exe lx64_filepull -help

डंप कमांड के लिए सहायता दिखाएं।

• pcileech.exe dump -help

लक्ष्य सिस्टम से सभी मेमोरी डंप करें, बशर्ते कि पते 0x7fffe000 पर एक कर्नेल मॉड्यूल लोड हो।

• pcileech.exe dump -kmd 0x7fffe000

USB3380 पर अधिक स्थिर USB2 दृष्टिकोण का उपयोग करके सुलभ मेमोरी मैप किए गए उपकरणों सहित 4GB से नीचे की मेमोरी को बलपूर्वक डंप करें।

• pcileech.exe dump -force -device usb3380://usb=2

PCIe TLP (ट्रांज़ेक्शन लेयर पैकेट) प्राप्त करें और उन्हें स्क्रीन पर प्रिंट करें (सही ढंग से कॉन्फ़िगर किए गए FPGA डेवलपमेंट बोर्ड की आवश्यकता है)।

• pcileech.exe tlp -vv -wait 1000

लक्ष्य सिस्टम की मेमोरी को पढ़ने योग्य मेमोरी पेज और अधिकतम मेमोरी के लिए जांच/गणना करें। (केवल FPGA हार्डवेयर)।

• pcileech.exe probe

पतों min और max के बीच सभी मेमोरी डंप करें, असफल पृष्ठों पर न रुकें। 64-बिट मेमोरी तक मूल पहुँच केवल FPGA हार्डवेयर पर समर्थित है।

• pcileech.exe dump -min 0x0 -max 0x21e5fffff -force

सभी मेमोरी डंप करें, लक्ष्य सिस्टम रजिस्ट्री से मेमोरी मैप का पता लगाने का प्रयास करें ताकि संभावित अमान्य मेमोरी को डंप करने से बचा जा सके जो लक्ष्य को फ्रीज कर सकती है।

• pcileech.exe dump -memmap auto

किसी विशिष्ट उपकरण के उपयोग को बाध्य करें (डिफ़ॉल्ट ऑटो-डिटेक्ट करने के बजाय)। pmem उपकरण ऑटो-डिटेक्ट नहीं होता है।

• pcileech.exe pagedisplay -min 0x1000 -device pmem

रिमोट LeechAgent से रिमोट मेमोरी डंप करें जो kerberos द्वारा एन्क्रिप्टेड और पारस्परिक रूप से प्रमाणित कनेक्शन का उपयोग करता है।

• pcileech.exe dump -device pmem -remote rpc://[email protected]

LeechAgent एम्बेडेड Python वातावरण का उपयोग करके एक रिमोट कंप्यूटर पर Python विश्लेषण स्क्रिप्ट find-rwx.py निष्पादित करें।

• pcileech.exe agent-execpy -in find-rwx.py -device pmem -remote rpc://[email protected]

pid 432 की वर्चुअल प्रक्रिया मेमोरी पैच करें (इस उदाहरण में lsass.exe)।

• pcileech.exe patch -pid 432 -sig unlock_win10x64.sig

सीमाएँ/ज्ञात समस्याएँ:

• यदि OS IOMMU/VT-d का उपयोग करता है तो काम नहीं करता। यह macOS पर डिफ़ॉल्ट है (जब तक कि रिकवरी मोड में अक्षम न किया जाए)। वर्चुअलाइज़ेशन-आधारित सुरक्षा सुविधाओं के साथ Windows 10/11 पूरी तरह से काम नहीं करता।
• हाल के Windows और Linux संस्करण डिफ़ॉल्ट रूप से DMA को अवरुद्ध करते हैं।

PCILeech और MemProcFS समुदाय:

यह सब थोड़ा भारी लग रहा है? या बस एक त्वरित प्रश्न पूछना चाहते हैं? Discord पर PCILeech और MemProcFS DMA समुदाय सर्वर से जुड़ें!

निर्माण:

बाइनरी इस रिपॉजिटरी के रिलीज़ अनुभाग में पाई जाती हैं। यदि कोई अपना संस्करण बनाना चाहता है तो ऐसा करना संभव है। कृपया PCILeech बनाने के बारे में अधिक जानकारी के लिए PCILeech on Windows या PCILeech on Linux देखें। PCILeech LeechCore पर और वैकल्पिक रूप से (कुछ अतिरिक्त कार्यक्षमता के लिए) The Memory Process File System पर निर्भर है, जिन्हें दोनों को अलग-अलग बनाया जाना चाहिए।

योगदान:

PCILeech, MemProcFS और LeechCore ओपन सोर्स हैं लेकिन ओपन कंट्रीब्यूशन नहीं हैं। PCILeech, MemProcFS और LeechCore एक अत्यधिक लचीली प्लगइन आर्किटेक्चर प्रदान करते हैं जो प्लगइन के रूप में योगदान की अनुमति देगा। यदि आप कोर प्रोजेक्ट्स में प्लगइन के अलावा कोई योगदान देना चाहते हैं, तो कृपया विकास शुरू करने से पहले मुझसे संपर्क करें।

लिंक:

• Twitter:
• Discord:
• PCILeech: https://github.com/ufrisk/pcileech
• PCILeech FPGA: https://github.com/ufrisk/pcileech-fpga
• LeechCore: https://github.com/ufrisk/LeechCore
• MemProcFS: https://github.com/ufrisk/MemProcFS
• Blog: http://blog.frizk.net
• PushPin: GUI for PCILeech: https://github.com/LuckyPi/PushPin

परिवर्तन लॉग:

पिछले रिलीज़ (विस्तार करने के लिए क्लिक करें):

v1.0-v3.6

• प्रारंभिक रिलीज़ और विभिन्न अद्यतन। कृपया अधिक जानकारी के लिए अलग-अलग रिलीज़ देखें।

v4.0

• बड़ी सफाई और आंतरिक पुनर्रचना।
• FPGA अधिकतम मेमोरी ऑटो-डिटेक्ट और अधिक स्थिर डंपिंग रणनीति।
• गैर-वर्चुअलाइज़ेशन-आधारित सुरक्षा प्रणालियों पर FPGA हार्डवेयर के साथ नए स्थिर Windows 10 कर्नेल इंजेक्ट।
• उपयोगकर्ता मोड इंजेक्ट (प्रयोगात्मक)।
• बिल्ट-इन डिवाइस समर्थन हटाना - अब इसके बजाय LeechCore leechcore.dll/leechcore.so लाइब्रेरी का उपयोग किया जाता है। नए उपकरणों में शामिल हैं:
  • मेमोरी डंप फ़ाइलें (रॉ लीनियर डंप फ़ाइलें और माइक्रोसॉफ्ट क्रैश डंप फ़ाइलें)।
  • Hyper-V सेव फ़ाइलें।
  • DumpIt / WinPmem के माध्यम से लाइव मेमोरी।
  • -remote सेटिंग के माध्यम से रिमोट डिवाइस।
• API और बिल्ट-इन Memory Process File System को हटाना - कृपया इसके बजाय LeechCore और Memory Process File System में अधिक सक्षम API का उपयोग करें।
• कई अन्य परिवर्तन और सिंटैक्स अद्यतन।

v4.1

• LeechAgent समर्थन - रिमोट मेमोरी अधिग्रहण और विश्लेषण।

v4.2

• हस्ताक्षर अद्यतन:
  • Linux कर्नेल मॉड्यूल - LINUX_X64_48 (नवीनतम संस्करण)
  • Win10 1903 कर्नेल मॉड्यूल - WIN10_X64_2 (Windows संस्करण PCILeech की आवश्यकता है)

v4.3

• बग फिक्स।
• LeechCore लाइब्रेरी के माध्यम से नए उपकरण (NeTV2 / RawUDP) के लिए समर्थन।

v4.4

• बग फिक्स और स्थिरता में सुधार।
• MemProcFS v3 लाइब्रेरी के लिए समर्थन।
• बाइनरी का कोड हस्ताक्षर।
• "tlploop" कमांड।

v4.5

v4.10

• Windows 10 बिल्ट-इन हस्ताक्षरों के लिए Linux समर्थन (MemProcFS v4.0 पर निर्भरता)।
• Windows और Linux के लिए अलग-अलग रिलीज़।
• सामान्य सफाई।

v4.11

• VMWare Workstation/Player लाइव VM मेमोरी के लिए समर्थन।
• LeechAgent agent-forensic कमांड के साथ रिमोट मेमोरी विश्लेषण के लिए समर्थन।
  • MemProcFS फोरेंसिक मोड को दूरस्थ रूप से चलाता है।
  • ElasticSearch संगत JSON डेटा प्राप्त करता है।

v4.12

• 32-बिट समर्थन (pcileech बाइनरी)।

v4.13

• बग फिक्स।
• माउंट सुधार:
  • Windows होस्ट फ़ाइल सिस्टम समर्थन: Dokany2 में अपग्रेड करें (NB! Dokany2 स्थापित करना होगा!)।
  • Linux होस्ट फ़ाइल सिस्टम समर्थन: FUSE समर्थन जोड़ा गया।
    उदाहरण: ./pcileech mount /home/user/fusemnt/leechfs -kmd <your_kmd_address>
  • अब Windows लक्ष्यों पर C: के अलावा अन्य स्थानीय ड्राइव तक पहुँच संभव है।
• Visual Studio 2022 समर्थन।

v4.14

• प्रक्रिया वर्चुअल मेमोरी समर्थन (केवल Windows)।
  • कमांड: search, patch, write, display, pagedisplay
  • उदाहरण: pcileech patch -pid 732 -sig unlock_win10x64.sig

v4.15

• MemProcFS v5.0 के लिए समर्थन

v4.16

• FPGA प्रदर्शन में सुधार।
• कमांड none जोड़ा गया।
• विकल्प -bar-ro और -bar-rw जोड़े गए।

v4.17

• I/O BAR समर्थन।
• Linux सुधार:
  • नवीनतम Ubuntu कर्नेल का समर्थन करने के लिए KMD हस्ताक्षर अद्यतन (LINUX_X64_48)।
  • नवीनतम कर्नेल का समर्थन करने के लिए कर्नेल मॉड्यूल का अद्यतन।
  • नया KMD हस्ताक्षर - LINUX_X64_MAP - -in विकल्प में लक्ष्य सिस्टम कर्नेल System.map निर्दिष्ट करें।
  • नया कर्नेल मॉड्यूल: lx64_exec_root।
• Linux PCIe FPGA प्रदर्शन में सुधार।v4.18
• बेंचमार्क कमांड जोड़ा गया।
• अनलॉक हस्ताक्षर अपडेट किए गए।
• -psname विकल्प जोड़ा गया।

v4.19

• लिनक्स स्थिरता सुधार और कर्नेल मॉड्यूल लोडिंग संवर्द्धन।
• लिनक्स क्लैंग संकलन समर्थन।
• macOS समर्थन।

Latest:

• बग फिक्स।
• gRPC (LeechCore v2.21) का उपयोग करते हुए लिनक्स LeechAgent समर्थन।
• जोड़ें: -no-kmd-mem विकल्प, जो KMD लोड होने पर KMD मेमोरी एक्सेस को वैकल्पिक रूप से अक्षम करता है (कुछ मामलों में स्थिरता कारणों से उपयोगी हो सकता है)।
• जोड़ें: -kmd WIN11_X64 - विंडोज 11 KMD हस्ताक्षर (WIN10_X64_3 का उपनाम)।