LiMEaide

v2.0

만든이: Daryl Bennett - kd8bny[at]gmail[dot]com

소개

LiMEaide는 원격 또는 로컬에서 Linux 클라이언트의 RAM을 덤프하고 나중에 로컬 호스트에서 분석할 volatility 프로필을 생성하도록 설계된 Python 애플리케이션입니다. 이 도구가 원격 환경에서의 Linux 디지털 포렌식을 단순화해 주길 바랍니다. LiMEaide를 사용하려면 원격 Linux 클라이언트의 IP 주소만 입력하고 편하게 좋아하는 카페인 음료를 즐기면 됩니다.

LiMEaide는 세 가지 주요 작동 모드가 있습니다.

1. 원격(Remote) - SSH로 연결을 시작하고 SFTP를 통해 데이터를 전송합니다.
2. 소켓(Socket) - SSH로 연결을 시작하지만 메모리 이미지는 TCP 소켓을 통해 전송합니다. 즉, 이미지가 디스크에 기록되지 않습니다. 도구는 여전히 SFTP를 통해 전송됩니다.
3. 로컬(Locally) - USB 드라이브나 기타 장치에 LiMEaide 사본을 가지고 있는 경우입니다. 클라이언트에 데이터를 전송하지 않으며 작업 디렉터리에서 실행됩니다. 모든 전송은 내부 메서드로 완료되며 네트워크 소켓은 열리지 않습니다.

위키

더 자세한 사용법은 위키를 확인하세요.

사용 방법

간단 요약

원격

python3 limeaide.py <IP>

그러면 마법이 일어납니다.

로컬

python3 limeaide.py local

그러면 로컬 마법이 일어납니다.

로컬 전송을 위해서는 시스템에 Python 3과 의존성이 설치되어 있어야 합니다. 시스템에 설치하지 않고 의존성을 제공하려면 python3-virtualenv를 사용하는 것을 권장합니다.

상세 사용법

limeaide.py [옵션] REMOTE_IP
-h, --help
    도움말 대화상자를 표시합니다.

-u, --user : <사용자>
    sudo 사용자로 메모리 수집을 실행합니다. root 권한이 부여되지 않은 경우 유용합니다.

-k, --key : <키 경로>
    SSH 키를 사용하여 연결합니다.

-s, --socket : <포트>
    데이터 전송에 SFTP 세션 대신 TCP 소켓을 사용합니다. 메모리 이미지를 디스크에 기록하지 않지만 다른 필요한 파일은 전송합니다.

-o, --output : <원하는 출력 이름>
    출력 파일의 이름을 지정합니다.

-f, --format : <LiME 형식>
    출력 형식을 변경합니다. 유효한 옵션: raw|lime|padded

-d, --digest : <다이제스트>
    다른 다이제스트 알고리즘을 사용합니다. 유효한 옵션은 LiME 문서를 참조하세요.
    'None'을 사용하여 비활성화합니다.

-C, --compress
    네트워크 전송 시 압축합니다. 소켓이나 로컬 전송에서는 작동하지 않습니다.

-p, --profile : <배포판> <커널 버전> <아키텍처>
    프로파일러를 건너뛰고 원격 클라이언트의 배포판, 커널 버전, 아키텍처를 직접 제공합니다.

-N, --no-profiler
    프로파일러를 실행하지 **않고** 클라이언트에 새 모듈/프로필을 강제로 생성합니다.

-c, --case : <사건 번호>
    출력 디렉터리 앞에 사건 번호를 추가합니다.

-v, --verbose
    상세 출력을 표시합니다.

--force-clean
    이전 시도가 실패한 경우 클라이언트를 정리합니다.

• 더 자세한 사용법은 위키를 확인하세요.
• 구성 파일 편집에 대해서는 여기를 참조하세요.
• 모듈이나 외부 모듈을 가져오려면 해당 모듈 *.ko 파일을 프로필 디렉터리에 복사하기만 하면 됩니다. 복사 후 LiMEaide를 실행하면 프로파일러가 새 프로필을 인식합니다.

./profiles/

설정

의존성

python

• DEB 계열

sudo apt-get install python3-paramiko python3-termcolor

• RPM 계열

sudo yum install python3-paramiko python3-termcolor

• pip3

sudo pip3 install paramiko termcolor

dwarfdump 설치

volatility 프로필을 빌드하려면 LKM의 디버깅 심볼을 읽을 수 있어야 합니다. 이를 위해 dwarfdump를 설치해야 합니다. dwarfdump를 찾거나 설치하는 데 문제가 있으면 volatility 페이지 여기를 참조하세요.

• DEB 패키지 관리자

sudo apt-get install dwarfdump

• RPM 패키지 관리자

sudo yum install libdwarf-tools

LiME

자동 설치

기본적으로 LiMEaide는 LiME을 자동으로 다운로드하여 올바른 디렉터리에 배치합니다. 하지만 네트워크에 연결되어 있지 않은 경우 아래 수동 설치 방법을 진행하세요.

LiME 수동 설치

LiME을 사용하려면 소스를 다운로드하여 LiMEaide/tools 디렉터리로 이동해야 합니다. LiME 폴더 이름이 LiME인지 확인하세요. 전체 경로는 다음과 같아야 합니다.

LiMEaide/tools/LiME/

방법:

1. LiME v1.8.1을 다운로드합니다.
2. LiMEaide/tools/에 압축을 풉니다.
3. 폴더 이름을 LiME로 변경합니다.

현재 제한 사항

• bash만 지원합니다. 다른 셸은 위험을 감수하고 사용하세요.
• 모듈은 원격 클라이언트에서 빌드해야 합니다. 따라서 원격 클라이언트에 적절한 헤더가 설치되어 있어야 합니다.
  • 외부 커널 모듈을 컴파일하려면 이 가이드를 따르세요. 컴파일 후 모듈 .ko를 LiMEaide 프로필 디렉터리에 복사하세요.

특별 감사 및 참고 사항

• 이 애플리케이션의 아이디어는 Linux Memory Grabber 프로젝트가 꿈꾼 개념을 바탕으로 구축되었습니다.
• 물론 이 모든 것은 훌륭한 LiME 프로젝트 없이는 불가능했을 것입니다.