daddycocoaman/dumpscanカーネルとユーザーメモリ内のシークレットを発見する
Dumpscan は、カーネルおよび Windows Minidump 形式からシークレットを抽出およびダンプするために設計されたコマンドラインツールです。カーネルダンプの解析は volatility3 によって提供されています。
注: テストは Windows 10 および 11 の 64 ビットホストおよびプロセスでのみ実施されています。追加バージョンについては、Issue を提出してください。Linux でのテストは未定です。
コマンドラインツールとして、pipx を使用したインストールを推奨します。これにより、簡単なアップデートと独立した仮想環境へのインストールが保証されます。
pipx install dumpscan
pipx inject dumpscan git+https://github.com/volatilityfoundation/volatility3#39e812a
Usage: dumpscan [OPTIONS] COMMAND [ARGS]...
メモリダンプをスキャンしてシークレットや鍵を探します
╭─ Options ────────────────────────────────────────────────────────────────────────────────────────╮
│ │
│ --help このメッセージを表示して終了 │
│ │
╰──────────────────────────────────────────────────────────────────────────────────────────────────╯
╭─ Commands ───────────────────────────────────────────────────────────────────────────────────────╮
│ │
│ kernel volatility を使用してカーネルダンプをスキャン │
│ minidump ユーザーモードのミニダンプをスキャン │
│ │
╰──────────────────────────────────────────────────────────────────────────────────────────────────╯
証明書を抽出するサブコマンドの場合は、--output/-o <dir> を指定して、発見された証明書をディスクに出力できます。
前述の通り、カーネル解析は Volatility3 によって実行されます。cmdline、envar、pslist は Volatility3 プラグインへの直接呼び出しであり、symcrypt と x509 はカスタムプラグインです。
Usage: dumpscan kernel [OPTIONS] COMMAND [ARGS]...
volatility を使用してカーネルダンプをスキャン
╭─ Options ────────────────────────────────────────────────────────────────────────────────────────╮
│ │
│ --help このメッセージを表示して終了 │
│ │
╰──────────────────────────────────────────────────────────────────────────────────────────────────╯
╭─ Commands ───────────────────────────────────────────────────────────────────────────────────────╮
│ │
│ cmdline プロセスのコマンドラインを一覧表示 (Windows のみ) │
│ envar プロセスの環境変数を一覧表示 (Windows のみ) │
│ pslist すべてのプロセスとそのコマンドライン引数を一覧表示 │
│ symcrypt カーネルモードダンプから symcrypt オブジェクトをスキャン │
│ x509 カーネルモードダンプから x509 証明書をスキャン │
│ │
╰──────────────────────────────────────────────────────────────────────────────────────────────────╯
Windows Minidump 形式に対応しています。
注: これは Windows 10 以降の 64 ビットプロセスでのみテストされています。32 ビットプロセスは追加の作業が必要ですが、優先度は低いです。
Usage: dumpscan minidump [OPTIONS] COMMAND [ARGS]...
ユーザーモードのミニダンプをスキャン
╭─ Options ────────────────────────────────────────────────────────────────────────────────────────╮
│ │
│ --help このメッセージを表示して終了 │
│ │
╰──────────────────────────────────────────────────────────────────────────────────────────────────╯
╭─ Commands ───────────────────────────────────────────────────────────────────────────────────────╮
│ │
│ cmdline コマンドライン文字列をダンプ │
│ envar ミニダンプ内の環境変数をダンプ │
│ symcrypt ミニダンプから symcrypt オブジェクトをスキャン │
│ x509 ミニダンプから x509 オブジェクトをスキャン │
│ │
╰──────────────────────────────────────────────────────────────────────────────────────────────────╯
construct を使用するアイデアを提供していただきました。