INSTALL LiME
function init_lime(){

  if [ -f /usr/bin/yum ]; then
    yum -y install make kernel-headers kernel-devel gcc
  elif [ -f /usr/bin/apt-get ]; then
    apt-add-repository universe
    apt-get -y install make linux-headers-$(uname -r) gcc
  fi

  rm -f /tmp/v1.8.1.zip
  wget -P/tmp https://github.com/504ensicsLabs/LiME/archive/v1.8.1.zip
  unzip /tmp/v1.8.1.zip
  rm -f /tmp/v1.8.1.zip

  pushd LiME-1.8.1/src
    make
    mv lime-*.ko /tmp/lime.ko
  popd
  rm -rf LiME-1.8.1
}

   1) 시스템 정보, IP, 날짜, 시간, 로컬 시간대, 마지막 부팅 - 'hostnamectl; who -b; uname -a; uptime; ifconfig; date; last reboot'

    1) 마운트된 파일 시스템 확인 - 'df -h'
    2) 실행 파일 해시 (MD5) - 'find /usr/bin -type f -exec file "{}" \; | grep -i "elf" | cut -f1 -d: | xargs -I "{}" -n 1 md5sum {}'
    3) 수정된 파일 - 'modified_files_period_select' (tuxresponse.sh 내 함수 호출)
    4) 모든 숨겨진 디렉터리 나열 - 'find / -type d -name "\.*"'
    5) 사용자/그룹 이름이 없는 파일/디렉터리 - 'find / \( -nouser -o -nogroup \) -exec ls -l {} \; 2>/dev/null'
    6) 패키지에서 변경된 파일 - 'packaged_files_changed' (tuxresponse.sh 내 함수 호출)

      1) 루트킷 확인 - 'chkrootkit' 실행
      2) Yara 스캔 - tuxresponse.sh 함수 'yara_select' 호출 (마스터 리포지토리의 모든 YARA Linux 규칙으로 시스템 스캔)
      3) EXIFTool - tuxresponse.sh 함수 'exiftool_select' 호출 (EXIFTool 설치)

      1) 실행 중인 프로세스 나열 - 'ps -axu'
      2) 삭제되었지만 실행 중인 바이너리 - 'ls -alR /proc/*/exe 2> /dev/null | grep deleted'
      3) 활성 네트워크 연결 (TCP, UDP) - 'ss -tunap | sed "s/[ \t]\+/|/g"'
      4) PID 기반 프로세스 덤프 - 'dump_process_select' (tuxresponse.sh 내 함수 호출)
          1) 덤프할 PID 입력: **(실행되는 명령어 - gcore -a -o "${DUMP_FILE}" ${DUMP_PID} )**
      5) /tmp, /dev에서 실행 중인 프로세스 - 'ls -alR /proc/*/cwd 2> /dev/null | grep -E "tmp|dev"'

      1) 모든 활성 네트워크 연결/로우 소켓 나열 - 'netstat -nalp; netstat -plant'
      

      1) 시스템에 연결된 모든 사용자 나열 - 'w'
      2) 비밀번호가 있는 사용자 확인 - 'getent passwd'

      1) Bash 히스토리 파일 확인 - 'cat ~/.bash_history | nl'
      

      1) 모든 크론 작업 나열 - 'list_all_crontab' (tuxresponse.sh 내 함수 호출)
      2) 모든 시작/부트 프로그램 나열 - 'list_all_onstartup' (tuxresponse.sh 내 함수 호출)
   

      1) 사용자 .bash_history 덤프 - 'cat_all_bash_history' (tuxresponse.sh 내 함수 호출)
      2) 바이너리가 포함된 로그 찾기 - 'grep [[:cntrl:]] /var/log/*.log'

      이 옵션을 사용하면 원격 시스템에 연결하여 모든 스크립트와 도구를 복사하고 시스템을 분석할 수 있습니다.
      

      이 옵션을 사용하면 LiME을 소스에서 컴파일하고 시스템의 RAM 메모리를 덤프할 수 있습니다. 다른 방법은 모든 주요 커널 버전에 대해 소스에서 컴파일하고 LKM을 삽입해야 하므로 가장 간단한 방법입니다.

이 옵션을 사용하면 잘 알려진 도구인 dd를 사용하여 대상 시스템의 전체 디스크 이미지를 생성할 수 있습니다. 함수는 소스와 대상을 매개변수로 받아 다음 명령어에 삽입합니다: 'dd if=${IMAGE_IN} | pv | dd of='${IMAGE_OUT}' bs=4K conv=noerror,sync'. 원격 시스템을 조사하는 경우 스크립트가 해당 시스템에 자신을 복사합니다. 그런 다음 ${TARGET_HOST} 매개변수가 설정된 경우, 스크립트는 다음 명령어를 사용하여 분석가 시스템에 이미지를 다운로드합니다: "ssh -p${TARGET_PORT} ${TARGET_USER}@${TARGET_HOST} 'dd if=${IMAGE_IN} bs=4K conv=noerror,sync' | pv | dd of='${IMAGE_OUT}'" (진행 상황을 추적하기 위해 pv를 적극적으로 사용합니다)

      스크립트가 올바르게 작동하는 데 필요한 바이너리를 설치합니다.
      1) 종속성
      2) Yara 및 규칙
      3) ExifTool
      4) 초기화 확인
      5) chckrootkit
      6) LiME