INSTALL LiME
function init_lime(){

  if [ -f /usr/bin/yum ]; then
    yum -y install make kernel-headers kernel-devel gcc
  elif [ -f /usr/bin/apt-get ]; then
    apt-add-repository universe
    apt-get -y install make linux-headers-$(uname -r) gcc
  fi

  rm -f /tmp/v1.8.1.zip
  wget -P/tmp https://github.com/504ensicsLabs/LiME/archive/v1.8.1.zip
  unzip /tmp/v1.8.1.zip
  rm -f /tmp/v1.8.1.zip

  pushd LiME-1.8.1/src
    make
    mv lime-*.ko /tmp/lime.ko
  popd
  rm -rf LiME-1.8.1
}

   1)Info di sistema, IP, Data, Ora, fuso orario locale, ultimo avvio - 'hostnamectl; who -b; uname -a; uptime; ifconfig; date; last reboot'

    1)Controlla i filesystem montati -'df -h'
    2)Hash degli eseguibili (MD5) - 'find /usr/bin -type f -exec file "{}" \; | grep -i "elf" | cut -f1 -d: | xargs -I "{}" -n 1 md5sum {}'
    3)File modificati - 'modified_files_period_select' (chiama una funzione in tuxresponse.sh)
    4)Elenca tutte le directory nascoste - 'find / -type d -name "\.*"'
    5)File/directory senza nome utente/gruppo - 'find / \( -nouser -o -nogroup \) -exec ls -l {} \; 2>/dev/null'
    6)File modificati dai pacchetti -'packaged_files_changed' (chiama una funzione in tuxresponse.sh)

      1) Controllo rootkit - esegue 'chkrootkit'
      2) Scansione Yara - chiama una funzione in tuxresponse.sh 'yara_select' (scansiona il sistema con tutte le regole YARA Linux disponibili nel repository master)
      3) EXIFTool - chiama una funzione in tuxresponse.sh 'exiftool_select' (installa EXIFTool)

      1) Elenca i processi in esecuzione - 'ps -axu'
      2) Binari cancellati ancora in esecuzione - 'ls -alR /proc/*/exe 2> /dev/null | grep deleted'
      3) Connessioni di rete attive (TCP, UDP) - 'ss -tunap | sed "s/[ \t]\+/|/g"'
      4) Dump del processo in base al PID - 'dump_process_select' (chiama una funzione in tuxresponse.sh)
          1) Inserisci PID da dump: **(questo è il comando eseguito - gcore -a -o "${DUMP_FILE}" ${DUMP_PID} )**
      5) Processi in esecuzione da /tmp, /dev - 'ls -alR /proc/*/cwd 2> /dev/null | grep -E "tmp|dev"'

      1) Elenca tutte le connessioni di rete attive/socket raw - 'netstat -nalp; netstat -plant'
      

      1) Elenca tutti gli utenti connessi al sistema - 'w' 
      2) Ottieni utenti con password - 'getent passwd'

      1) Controlla il file di cronologia di bash - 'cat ~/.bash_history | nl'
      

      1) Elenca tutti i cron job - 'list_all_crontab' (chiama una funzione in tuxresponse.sh)
      2) Elenca tutti i programmi all'avvio/boot - 'list_all_onstartup' (chiama una funzione in tuxresponse.sh)
   

      1) Dump del .bash_history degli utenti - 'cat_all_bash_history' (chiama una funzione in tuxresponse.sh)
      2) Trova log con binari all'interno -  'grep [[:cntrl:]] /var/log/*.log'

      Questa opzione ti consente di connetterti a un sistema remoto, copiare tutti gli script e gli strumenti e analizzare il sistema.
      

      Questa opzione ti consente di compilare LiME dal sorgente e fare il dump della memoria RAM del sistema. Questo è il modo più semplice poiché l'alternativa sarebbe compilare dal sorgente per tutte le versioni principali del kernel e inserire il LKM.

That option enables you to do a full disk image of the target system using well-known tool - dd. The function is taking source and destination as parameters and inserts them in the following command 'dd if=${IMAGE_IN} | pv | dd of='${IMAGE_OUT}' bs=4K conv=noerror,sync'. If you're investigating remote system, the script is going to copy itself there. Then if the parameter ${TARGET_HOST} is set, then the script is going to download the image to analyst system using this command >> "ssh -p${TARGET_PORT} ${TARGET_USER}@${TARGET_HOST} 'dd if=${IMAGE_IN} bs=4K conv=noerror,sync' | pv | dd of='${IMAGE_OUT}'" (im heavily using pv to make sure progress is tracked)

      Installa i binari necessari per il corretto funzionamento dello script.
      1) Dipendenze
      2) Yara e regole
      3) ExifTool
      4) Controllo init
      5) chckrootkit
      6) LiME