LiMEaide

v2.0

作者 Daryl Bennett - kd8bny[at]gmail[dot]com

概要

LiMEaideは、リモートまたはローカルでLinuxクライアントのRAMをダンプし、後でローカルホストで解析するためのvolatilityプロファイルを作成するPythonアプリケーションです。リモート環境でのLinuxデジタルフォレンジックを簡素化することを目的としています。LiMEaideを使用するには、リモートLinuxクライアントのIPアドレスを指定するだけで、あとはリラックスしてお好きなカフェイン飲料を楽しんでください。

LiMEaideには3つの主要な動作モードがあります。

1. リモート - SSHで接続を開始し、SFTP経由でデータを転送します
2. ソケット - SSHで接続を開始しますが、メモリイメージはTCPソケット経由で転送します。つまり、イメージはディスクに書き込まれません。ツールは引き続きSFTPで転送されます。
3. ローカル - LiMEaideのコピーをUSBメモリなどのデバイスに保存します。クライアントにデータを転送せず、作業ディレクトリ内で実行を維持します。すべての転送は内部メソッドで完了し、ネットワークソケットは開かれません。

Wiki

詳細な使い方はwikiをご覧ください。

使い方

TL;DR

リモート

python3 limeaide.py <IP>

すると魔法のように動作します。

ローカル

python3 limeaide.py local

するとローカルで魔法のように動作します。

ローカル転送では、マシンにPython 3と依存関係がインストールされている必要があります。システムにインストールせずに依存関係を提供するには、python3-virtualenvの使用をお勧めします。

詳細な使い方

limeaide.py [OPTIONS] REMOTE_IP
-h, --help
    ヘルプダイアログを表示します。

-u, --user : <ユーザー>
    sudoユーザーとしてメモリ取得を実行します。root権限が付与されていない場合に便利です。

-k, --key : <鍵へのパス>
    SSH鍵を使用して接続します。

-s, --socket : <ポート>
    SFTPセッションの代わりにTCPソケットを使用してデータを転送します。メモリイメージをディスクに書き込みませんが、他の必要なファイルは転送します。

-o, --output : <出力ファイル名>
    出力ファイルの名前を指定します。

-f, --format : <LiMEのフォーマット>
    出力フォーマットを変更します。有効なオプションは raw|lime|padded です。

-d, --digest : <ダイジェスト>
    別のダイジェストアルゴリズムを使用します。有効なオプションはLiMEのドキュメントを参照してください。
    'None' を使用すると無効になります。

-C, --compress
    転送を圧縮します。ソケットまたはローカル転送では機能しません。

-p, --profile : <ディストリビューション> <カーネルバージョン> <アーキテクチャ>
    リモートクライアントのディストリビューション、カーネルバージョン、アーキテクチャを指定してプロファイラをスキップします。

-N, --no-profiler
    プロファイラを実行せず、クライアント用の新しいモジュール/プロファイルの作成を強制します。

-c, --case : <ケース番号>
    出力ディレクトリの先頭にケース番号を追加します。

-v, --verbose
    詳細な出力を表示します。

--force-clean
    前回の試行が失敗した場合、クライアントをクリーンアップします。

• 詳細な使い方はwikiをご覧ください。
• 設定ファイルの編集についてはこちらを参照してください。
• モジュールや外部モジュールをインポートするには、モジュール *.ko をprofilesディレクトリにコピーするだけです。コピー後、LiMEaideを実行するとプロファイラが新しいプロファイルを認識します。

./profiles/

セットアップ

依存関係

python

• DEB base

sudo apt-get install python3-paramiko python3-termcolor

• RPM base

sudo yum install python3-paramiko python3-termcolor

• pip3

sudo pip3 install paramiko termcolor

dwarfdumpのインストール

volatilityプロファイルをビルドするには、LKM内のデバッグシンボルを読み取る必要があります。そのためにはdwarfdumpをインストールする必要があります。dwarfdumpの検索やインストールで問題が発生した場合は、volatilityのページこちらを参照してください。

• DEB package manager

sudo apt-get install dwarfdump

• RPM package manager

sudo yum install libdwarf-tools

LiME

自動インストール

デフォルトでは、LiMEaideは自動的にLiMEをダウンロードし、適切なディレクトリに配置します。ただし、ネットワークに接続されていない場合は、以下の手動インストール方法に従ってください。

LiMEの手動インストール

LiMEを使用するには、ソースをダウンロードして LiMEaide/tools ディレクトリに移動する必要があります。LiMEフォルダの名前は LiME であることを確認してください。フルパスは次のとおりです。

LiMEaide/tools/LiME/

手順...

1. LiME v1.8.1 をダウンロード
2. LiMEaide/tools/ に展開
3. フォルダ名を LiME に変更

現時点での制限事項

• bashのみサポート。他のシェルは自己責任で使用してください。
• モジュールはリモートクライアント上でビルドする必要があります。そのため、リモートクライアントには適切なヘッダーがインストールされている必要があります。
  • 外部カーネルモジュールをコンパイルするにはこのガイドに従ってください。コンパイル後、モジュール .ko をLiMEaideのprofilesディレクトリにコピーしてください。

謝辞と注意事項

• このアプリケーションのアイデアは、Linux Memory Grabber プロジェクトによって考案されたコンセプトに基づいています。
• そしてもちろん、素晴らしいLiMEプロジェクトなしでは実現できませんでした。