LiMEaide

v2.0

от Daryl Bennett - kd8bny[at]gmail[dot]com

О приложении

LiMEaide — это Python-приложение, предназначенное для удалённого или локального дампа оперативной памяти Linux-клиента и создания профиля volatility для последующего анализа на вашем локальном хосте. Надеюсь, что это упростит цифровую криминалистику Linux в удалённой среде. Для использования LiMEaide достаточно указать IP-адрес удалённого Linux-клиента, откинуться на спинку кресла и наслаждаться любимым напитком с кофеином.

LiMEaide имеет 3 основных режима работы

1. Удалённый — инициирует соединение по SSH и передаёт данные через SFTP
2. Сокет — инициирует соединение по SSH, но передаёт образ памяти через TCP-сокет. Это означает, что образ НЕ записывается на диск. Инструменты по-прежнему передаются через SFTP.
3. Локальный — наличие копии LiMEaide на флеш-накопителе или другом устройстве. Не передаёт никаких данных клиенту, выполнение происходит в рабочем каталоге. Все передачи выполняются внутренними методами, сетевые сокеты не открываются.

Вики

Для более подробной информации смотрите вики

Как использовать

TL;DR

Удалённый

python3 limeaide.py <IP>

и происходит магия.

Локальный

python3 limeaide.py local

и происходит локальная магия.

Для локальной передачи требуется, чтобы на машине были установлены python 3 и зависимости. Рекомендую использовать python3-virtualenv для предоставления зависимостей без установки в систему.

Подробное использование

limeaide.py [OPTIONS] REMOTE_IP
-h, --help
    Показывает диалог справки

-u, --user : <user>
    Выполнить захват памяти от имени пользователя sudo. Это полезно, когда права root не предоставлены.

-k, --key : <path to key> 
    Использовать SSH-ключ для подключения

-s, --socket : <port> 
    Использовать TCP-сокет вместо сеанса SFTP для передачи данных. Не записывает образ памяти на диск, но передаёт другие необходимые файлы.

-o, --output : <Name desired for output> 
    Имя выходного файла

-f, --format : <Format for LiME>
    Изменить формат вывода. Допустимые параметры: raw|lime|padded

-d, --digest : <digest>
    Использовать другой алгоритм дайджеста. Смотрите документацию LiME для допустимых параметров.
    Используйте 'None' для отключения. 

-C, --compress
    Сжимать передаваемые данные. Не работает с сокетными или локальными передачами.

-p, --profile : <distro> <kernel version> <arch>
    Пропустить профилировщик, указав дистрибутив, версию ядра и архитектуру удалённого клиента.

-N, --no-profiler
    НЕ запускать профилировщик и принудительно создать новый модуль/профиль для клиента.

-c, --case : <case num>
    Добавить номер дела в начало выходного каталога.

-v, --verbose
    Показывать подробный вывод

--force-clean
    Если предыдущая попытка не удалась, выполнить очистку клиента

• Для более подробной информации смотрите вики
• Для редактирования файла конфигурации смотрите здесь
• Чтобы импортировать модули или внешние модули, просто скопируйте модуль *.ko в каталог profiles. После копирования запустите LiMEaide, и профилировщик распознает новый профиль.

./profiles/

Настройка

Зависимости

python

• База DEB

sudo apt-get install python3-paramiko python3-termcolor

• База RPM

sudo yum install python3-paramiko python3-termcolor

• pip3

sudo pip3 install paramiko termcolor

Установка dwarfdump

Чтобы создать профиль volatility, нам нужно уметь читать отладочные символы в LKM. Для этого необходимо установить dwarfdump. Если у вас возникли проблемы с поиском/установкой dwarfdump, смотрите страницу volatility здесь

• Менеджер пакетов DEB

sudo apt-get install dwarfdump

• Менеджер пакетов RPM

sudo yum install libdwarf-tools

LiME

Автоустановка

По умолчанию LiMEaide автоматически загружает и размещает LiME в нужном каталоге. Однако, если вы отключены от сети, воспользуйтесь методом ручной установки, описанным в разделе ниже.

Ручная установка LiME

Для использования LiME необходимо загрузить исходный код и переместить его в каталог LiMEaide/tools. Убедитесь, что папка LiME называется LiME. Полный путь должен быть следующим:

LiMEaide/tools/LiME/

Как сделать...

1. Скачайте LiME v1.8.1
2. Распакуйте в LiMEaide/tools/
3. Переименуйте папку в LiME

Ограничения на данный момент

• Поддерживается только bash. Используйте другие оболочки на свой страх и риск
• Модули должны быть собраны на удалённом клиенте. Следовательно, на удалённом клиенте должны быть установлены соответствующие заголовки.
  • Если только вы не следуете этому руководству по компиляции внешних модулей ядра. После компиляции скопируйте модуль .ko в каталог profiles LiMEaide.

Особая благодарность и примечания

• Идея этого приложения основана на концепции, разработанной проектом Linux Memory Grabber
• И, конечно, всё это было бы невозможно без замечательного проекта LiME