MemProcFS: =============================== MemProcFS — это простой и удобный способ просмотра физической памяти в виде файлов в виртуальной файловой системе. Простой анализ памяти в стиле «укажи и щёлкни» без необходимости в сложных аргументах командной строки! Доступ к содержимому памяти и артефактам через файлы в смонтированной виртуальной файловой системе или через многофункциональную библиотеку приложений для включения в ваши собственные проекты! Анализируйте дампы памяти, <b>живую память</b> через DumpIt или WinPMEM, <b>живую память в режиме чтения-записи</b> из виртуальных машин или с аппаратных устройств [PCILeech](https://github.com/ufrisk/pcileech/) [FPGA](https://github.com/ufrisk/pcileech-fpga/)! Возможно даже подключение к удалённому агенту сбора памяти LeechAgent через защищённое соединение — что позволяет проводить удалённое реагирование на инциденты с живой памятью — даже при соединениях с высокой задержкой и низкой пропускной способностью! Загляните в [виртуальные машины с MemProcFS](https://github.com/ufrisk/MemProcFS/wiki/VM), [LiveCloudKd](https://github.com/ufrisk/LeechCore/wiki/Device_LiveCloudKd) или [VMware](https://github.com/ufrisk/LeechCore/wiki/Device_VMWare)! Используйте свои любимые инструменты для анализа памяти — свои любимые hex-редакторы, скрипты на Python и PowerShell, WinDbg или любимые дизассемблеры и отладчики — всё будет работать без проблем с MemProcFS просто путём чтения и записи файлов! <p align="center"><img src="https://assets.kitploit.com/production/public/readmes/2830/a111e1c899f2551096ce422ed932f3525456af2bc6ffa2d5e6abac1fee1f8849.png" height="190"/><img src="https://assets.kitploit.com/production/public/readmes/2830/4ecebbb25e1d08180796de105a630a7760973a6f47f2403ef1a48644126de979.jpg" height="190"/><img src="https://assets.kitploit.com/production/public/readmes/2830/11e55ba5f11c9d1137246542e03037eb387b0d64d14314d6e775e5f80108b691.png" height="190"/><img src="https://assets.kitploit.com/production/public/readmes/2830/7b379ca3d99eb25b9c638181fa4f0d0bf4c53f8c1f0e9475b03346670eeaab42.png" height="190"/></p> Начало работы! ============ Ознакомьтесь с отличным кратким руководством от [13Cubed](https://www.13cubed.com/), чтобы начать! Также посмотрите мои более старые доклады с конференций Disobey и BlueHat. <p align="center"> <a href="https://youtu.be/hjWVUrf7Obk" alt="13Cubed: MemProcFS - This Changes Everything" target="_new"><img src="https://assets.kitploit.com/production/public/readmes/placeholders/f0fc86cfe65f76d40e15aaec61704ec8220a56dc89d4be03c46f67cb31b9fa8c.svg" height="230"/></a> <a href="https://youtu.be/mca3rLsHuTA?t=952" alt="Disobey 2020 talk - Live Memory Attacks and Forensics" target="_new"><img src="https://assets.kitploit.com/production/public/readmes/placeholders/f0fc86cfe65f76d40e15aaec61704ec8220a56dc89d4be03c46f67cb31b9fa8c.svg" height="230"/></a> <a href="https://www.youtube.com/watch?v=Da_9SV9FA34" alt="Microsoft BlueHatIL 2019 talk - Practical Uses for Hardware-assisted Memory Visualization" target="_new"><img src="https://assets.kitploit.com/production/public/readmes/placeholders/f0fc86cfe65f76d40e15aaec61704ec8220a56dc89d4be03c46f67cb31b9fa8c.svg" height="230"/></a></p> Дополнительную документацию **смотрите в [wiki проекта](https://github.com/ufrisk/MemProcFS/wiki)** — там подробная информация о самой файловой системе, её API и плагин-модулях! Дополнительную информацию о методах сбора памяти смотрите в **[проекте LeechCore](https://github.com/ufrisk/LeechCore/)** или заходите на Discord-сервер [PCILeech/MemProcFS](https://pcileech.com/discord)! Чтобы начать, скачайте [последние бинарные файлы, модули и файлы конфигурации](https://github.com/ufrisk/MemProcFS/releases/latest) и ознакомьтесь с [руководством](https://github.com/ufrisk/MemProcFS/wiki)! Установка: =========== <b>Скачайте последние [бинарные файлы, модули и файлы конфигурации](https://github.com/ufrisk/MemProcFS/releases/latest) из последнего релиза.</b> Либо клонируйте репозиторий и соберите из исходного кода. ## Windows Для монтирования файловой системы требуется установленная <b>библиотека файловой системы Dokany</b>. Скачайте и установите последнюю версию Dokany версии 2 по адресу: https://github.com/dokan-dev/dokany/releases/latest Для захвата живой памяти (без аппаратного обеспечения PCILeech FPGA) скачайте [DumpIt](https://www.magnetforensics.com/resources/magnet-dumpit-for-windows) и запустите MemProcFS в режиме DumpIt /LIVEKD. Либо получите WinPMEM, скачав самый свежий подписанный [драйвер WinPMEM](https://github.com/Velocidex/c-aff4/tree/master/tools/pmem/resources/winpmem) и разместив его рядом с MemProcFS — подробные инструкции в [LeechCore Wiki](https://github.com/ufrisk/LeechCore/wiki/Device_WinPMEM). PCILeech FPGA потребует аппаратного обеспечения, а также размещения _FTD3XXWU.dll_ рядом с бинарными файлами MemProcFS. Пожалуйста, ознакомьтесь с проектом [LeechCore](https://github.com/ufrisk/LeechCore) для получения инструкций. ## Linux MemProcFS должна работать «из коробки» в большинстве дистрибутивов Linux с установленным FUSE. Если вы собираете из исходного кода, ознакомьтесь с руководством по [MemProcFS на Linux](https://github.com/ufrisk/MemProcFS/wiki/_Linux). ## macOS Скачайте последний релиз MemProcFS [здесь](https://github.com/ufrisk/MemProcFS/releases/latest). MemProcFS при использовании в качестве смонтированной виртуальной файловой системы зависит от **macFuse**, который требует .kext. Скачайте и установите macFuse [здесь](https://github.com/macfuse/macfuse/releases/latest). Если MemProcFS используется через поддерживаемые API C/C++/Rust, macFuse не требуется. Обширный API для Python, Rust, Java, Go, C# и C/C++: =============================== Включите MemProcFS в свои проекты на [C/C++](https://github.com/ufrisk/MemProcFS/wiki/API_C), [C#](https://github.com/ufrisk/MemProcFS/wiki/API_CSharp), [Java](https://github.com/ufrisk/MemProcFS/wiki/API_Java), [Go](https://github.com/TexHik620953/go-memprocfs/) (сторонний), [Python](https://github.com/ufrisk/MemProcFS/wiki/API_Python) или [Rust](https://github.com/ufrisk/MemProcFS/wiki/API_Rust)! Всё в MemProcFS доступно через простой в использовании API для применения в ваших собственных проектах! Дружественная к плагинам архитектура позволяет пользователям легко расширять MemProcFS с помощью плагинов на C/C++/Rust/Python! Всё в MemProcFS предоставляется в виде API. API существуют для C/C++ `vmmdll.h`, C# [nuget-пакета](https://www.nuget.org/packages/Vmmsharp/), Java, Python [pip-пакета](https://pypi.org/project/memprocfs/) и Rust [crate](https://crates.io/crates/memprocfs). Сама файловая система становится доступной виртуально через API без необходимости её монтирования. Возможно чтение как виртуальной памяти процессов, так и физической памяти! Пример ниже показывает чтение 0x20 байт с физического адреса 0x1000: ``` >>> import memprocfs >>> vmm = memprocfs.Vmm(['-device', 'c:/temp/win10_memdump.raw']) >>> print(vmm.hex( vmm.memory.read(0x1000, 0x20) )) 0000 e9 4d 06 00 01 00 00 00 01 00 00 00 3f 00 18 10 .M..........?... 0010 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ ``` MemProcFS доступна в виде Python pip-пакета, и её легко интегрировать в ваши [Jupyter Notebooks](https://github.com/ufrisk/MemProcFS/wiki/API_Python_Jupyter). Примеры: ========= Запустите MemProcFS из командной строки — возможно, используя один из примеров ниже. Или зарегистрируйте расширение файла дампа памяти с помощью MemProcFS.exe, чтобы файловая система автоматически монтировалась при двойном щелчке по файлу дампа памяти! - смонтировать файл дампа памяти как M: по умолчанию <br>`memprocfs.exe -device c:\temp\win10x64-dump.raw` - смонтировать файл дампа памяти как M: по умолчанию с дополнительной подробностью: <br>`memprocfs.exe -device c:\temp\win10x64-dump.raw -v` - смонтировать файл дампа памяти как M: по умолчанию и запустить режим форензики: <br>`memprocfs.exe -device c:\temp\win10x64-dump.raw -forensic 1` - смонтировать файл дампа памяти как M: по умолчанию и запустить режим форензики со сканированием yara: <br>`memprocfs.exe -device c:\temp\win10x64-dump.raw -forensic 1 -forensic-yara-rules c:\yara\rules\windows_malware_index.yar` - смонтировать файл дампа памяти как /home/pi/mnt/ на Linux: <br>`./memprocfs -mount /home/pi/linux -device /dumps/win10x64-dump.raw` - смонтировать файл дампа памяти как S: <br>`memprocfs.exe -mount s -device c:\temp\win10x64-dump.raw` - смонтировать живую память цели в режиме только для чтения с драйвером WinPMEM: <br>`memprocfs.exe -device pmem` - смонтировать живую память цели в режиме чтения/записи с устройством сбора памяти PCILeech FPGA: <br>`memprocfs.exe -device fpga -memmap auto` - смонтировать дамп памяти с соответствующими файлами подкачки: <br>`memprocfs.exe -device unknown-x64-dump.raw -pagefile0 pagefile.sys -pagefile1 swapfile.sys` Сообщество PCILeech и MemProcFS: ========= Всё это кажется немного ошеломляющим? Или просто хотите задать быстрый вопрос? Присоединяйтесь к серверу сообщества DMA PCILeech и MemProcFS в Discord! <a href="https://pcileech.com/discord"><img src="https://assets.kitploit.com/production/public/readmes/2830/dd08fab787215b19b3e40b783ad638e783a82877e2327db7ccfd42e1454d1a94/1b0a45deb2d3a6f0b2933330f855a6c788343ce3e9f4a6df439c161a52dc460a-display-v1.webp"/></a> Сборка: ========= <b>Готовые [бинарные файлы, модули и файлы конфигурации](https://github.com/ufrisk/MemProcFS/releases/latest) находятся в последнем релизе.</b>. Бинарные файлы MemProcFS собираются с помощью Visual Studio 2022 и Ubuntu x64/AARCH64. Подробные инструкции по сборке можно найти в [Wiki](https://github.com/ufrisk/MemProcFS/wiki) в разделе [Building](https://github.com/ufrisk/MemProcFS/wiki/Dev_Building). Лицензия: ======== Исходный код проекта выпущен под: GNU Affero General Public License v3.0. Некоторые встроенные зависимости и плагины выпущены под GPLv3. Некоторые встроенные распространяемые бинарные файлы Microsoft выпущены под отдельными лицензиями. Альтернативное лицензирование возможно по запросу. Участие: ============= PCILeech, MemProcFS и LeechCore — открытый исходный код, но не открытое участие. PCILeech, MemProcFS и LeechCore предлагают высоко гибкую архитектуру плагинов, которая позволит вносить вклад в виде плагинов. Если вы хотите внести вклад, отличный от плагина, в основные проекты, пожалуйста, свяжитесь со мной перед началом разработки. Ссылки: ====== * Twitter: [](https://twitter.com/intent/follow?screen_name=UlfFrisk) * Discord: [](https://pcileech.com/discord) * PCILeech: https://github.com/ufrisk/pcileech * PCILeech FPGA: https://github.com/ufrisk/pcileech-fpga * LeechCore: https://github.com/ufrisk/LeechCore * MemProcFS: https://github.com/ufrisk/MemProcFS * Blog: http://blog.frizk.net Ссылки — связанные проекты: ========================= * [MemProcFS-Analyzer](https://github.com/LETHAL-FORENSICS/MemProcFS-Analyzer/) — это стороннее приложение PowerShell, используемое для упрощения работы с MemProcFS и оптимизации вашего рабочего процесса анализа памяти. MemProcFS-Analyzer поддерживается [@evild3ad](https://github.com/evild3ad) в [LETHAL-FORENSICS](https://github.com/LETHAL-FORENSICS). История изменений: =================== <details><summary>Предыдущие релизы (нажмите, чтобы развернуть):</summary> v1.0 * Первоначальный релиз. v1.1-v4.9 * Различные обновления. Пожалуйста, смотрите отдельные релизы для получения дополнительной информации. v5.0 * Крупный релиз с новыми функциями для поддержки задач параллельного анализа. * Ломающие изменения API и крупные обновления. * Расширенные возможности форензик-анализа и поддержка [CSV-файлов](https://github.com/ufrisk/MemProcFS/wiki/FS_Forensic_CSV). * Поддержка плагинов Linux. * Новый [Java API](https://github.com/ufrisk/MemProcFS/wiki/API_Java). v5.1 * Поддержка Windows 11 22H2. * Текстовые и бинарные представления в '/misc/view/'. v5.2 * Исправления ошибок. * [Поддержка виртуальных машин](https://github.com/ufrisk/MemProcFS/wiki/VM). * [Поддержка ARM64 Windows](https://github.com/ufrisk/MemProcFS/wiki/_ARM64). * Улучшения производительности FPGA. * Информация о дереве устройств в /sys/drivers. * Дополнения функций Linux: memcompress и token. * Ручная загрузка отладочных символов (PDB) на офлайн-системах (только Windows). v5.3 * Исправления ошибок и оптимизации производительности. * Перенаправленные функции PE. * Информация о версии PE. * Пакетный режим MemProcFS Python. * Поддержка плагинов Python на Linux. * Поддержка Hyper-V Container/Sandbox. * Поддержка Windows Hypervisor Platform (VMware и VirtualBox на Hyper-V). v5.4 * Поддержка Rust API. * Поддержка отладочных символов при работе на Linux. v5.5 * [Findevil](https://github.com/ufrisk/MemProcFS/wiki/FS_FindEvil): новые обнаружения на основе потоков. Findevil теперь только в режиме форензики. * [Пример Jupyter Notebook](https://github.com/ufrisk/MemProcFS/wiki/API_Python_Jupyter) * Поддержка Yara в [режиме форензики](https://github.com/ufrisk/MemProcFS/wiki/FS_Forensic_Yara) и [поиске](https://github.com/ufrisk/MemProcFS/wiki/FS_YaraSearch). v5.6 * Исправления ошибок, оптимизации производительности и мелкие обновления. * Плагин [files](https://github.com/ufrisk/MemProcFS/wiki/FS_Forensic_Files) в режиме форензики — показывает файлы с восстановимым содержимым. * Встроенные правила yara для [Findevil](https://github.com/ufrisk/MemProcFS/wiki/FS_FindEvil) в режиме форензики от [Elastic Security](https://github.com/elastic/protections-artifacts).<br>Активируется принятием лицензии Elastic 2.0 с помощью опции запуска [`-license-accept-elastic-license-2.0`](https://github.com/ufrisk/MemProcFS/wiki/_CommandLine#-license-accept-elastic-license-2.0). v5.7 * Исправления ошибок. * Обновления Rust API. * Новые обнаружения FindEvil Yara. * Сканирования Yara файловых объектов (повышенная вероятность обнаружения уязвимых драйверов с помощью FindEvil). * Улучшенная производительность FPGA для небольших чтений. * Улучшенное [удалённое взаимодействие MemProcFS](https://github.com/ufrisk/MemProcFS/wiki/_Remoting) через удалённый [LeechAgent](https://github.com/ufrisk/LeechCore/wiki/LeechAgent). Полная удалённая поддержка MemProcFS через SMB — tcp/445. Идеально для реагирования на инциденты (IR) с анализом памяти! v5.8 * Обновления LeechCore API для C/C++, C#, Rust, Python, Java. * Поддержка анализа памяти ARM64 Windows. [v5.9](https://github.com/ufrisk/MemProcFS/releases/tag/v5.9) * Исправления ошибок. * Улучшения модулей: ntfs, procinfo, web. * C# API: улучшения. * Java API: поддержка java.lang.foreign (JDK21+) для эффективных обращений к памяти. * Улучшения производительности Linux PCIe FPGA. * FindEvil: теперь отображаются сработавшие правила Yara. * FindEvil: обнаружения AV от Windows Defender, находящегося в анализируемой системе. * Python API: новая функциональность (multi-read, type-read) и улучшенная производительность scatter read. * Поддержка файлов дампа памяти Proxmox. [v5.10](https://github.com/ufrisk/MemProcFS/releases/tag/v5.10) * Поддержка релиза Windows 11 24H2. * Исправления ошибок. * Добавлены именованные объекты _SECTION в карту VAD. * Улучшения `-memmap auto`. * Поддержка файла гибернации. * FindEvil: обнаружение UM APC. Спасибо [@thejanit0r](https://github.com/thejanit0r) за вклад. * [Модуль Sysinfo](https://github.com/ufrisk/MemProcFS/wiki/FS_Sys_Sysinfo) для удобного чтения системной информации. * [Модуль Eventlog](https://github.com/ufrisk/MemProcFS/wiki/FS_Misc_Eventlog) для удобного доступа к файлам журнала событий. * API бинарного поиска теперь допускает до 16M поисковых запросов (по сравнению с предыдущими 16). * Разбор Prefetch. [v5.11](https://github.com/ufrisk/MemProcFS/releases/tag/v5.11) * Исправления ошибок. * [Новый C# API Vmmsharp](https://github.com/ufrisk/MemProcFS/wiki/API_CSharp). [v5.12](https://github.com/ufrisk/MemProcFS/releases/tag/v5.12) * Исправления ошибок. * обновления (FindEvil, новые сигнатуры и т.д.). * Новые API для объектов ядра, драйверов и устройств. [v5.13](https://github.com/ufrisk/MemProcFS/releases/tag/v5.13) * Исправления ошибок. * Добавлен новый [модуль консоли](https://github.com/ufrisk/MemProcFS/wiki/FS_Process_Console). * Улучшения восстановления файлов (размеры файлов, информация о подписи) для [модуля files](https://github.com/ufrisk/MemProcFS/wiki/FS_Forensic_Files). * Функциональность API обратного вызова памяти (только C/C++ API). * [Разбор стека вызовов](https://github.com/ufrisk/MemProcFS/wiki/FS_Process_Threads) для стеков вызовов пользовательских процессов x64. [v5.14](https://github.com/ufrisk/MemProcFS/releases/tag/v5.14) * Исправления ошибок. * Поддержка компиляции clang на Linux. * Поддержка macOS. [v5.15](https://github.com/ufrisk/MemProcFS/releases/tag/v5.15) * Исправления ошибок. * Поддержка Linux LeechAgent с использованием gRPC (LeechCore v2.21). * Новое обнаружение FindEvil: High Entropy. * [Разбор кэша DNS](https://github.com/ufrisk/MemProcFS/wiki/FS_SysInfo_Network). Спасибо [@MattCore71](https://github.com/MattCore71) за вклад. [v5.16](https://github.com/ufrisk/MemProcFS/releases/tag/v5.16) * Исправления ошибок. * Поддержка Windows 11 25H2 </details> [v5.17](https://github.com/ufrisk/MemProcFS/releases/tag/v5.17) * Поддержка Windows 11 26H1. * Улучшенный разбор реестра. * Новые опции обновления в API. * Новый опциональный обратный вызов логирования в API. * Поддержка не-ASCII символов в путях к файлам. [v5.18](https://github.com/ufrisk/MemProcFS/releases/tag/v5.18) * Исправления ошибок. * Новый модуль: парсер Windows Terminal (Win11+). * Новый форензик-модуль: парсер amcache (Win10+). * Верхний предел карты PTE скорректирован с 65536 до 131072. * Исправление: запись файлов в смонтированной MemProcFS в WSL (drvfs) теперь работает. [v5.19](https://github.com/ufrisk/MemProcFS/releases/tag/v5.19) * Поддержка Windows 11 26H2. * Исправления ошибок. * Исправление: восстановление кучи теперь работает на Windows 11 24H2 и новее. * Исправление: улучшен разбор пула и кучи. * Исправление: улучшены показатели восстановления сжатой памяти. * Новый модуль: /sys/eventlog (восстановление журнала событий Windows). * Новый модуль: /sys/proc/cpu — использование CPU процессом, текущее и общее. * Новая функция API: VMMDLL_MemVirtualQuery. * Новая функция API: VMMDLL_WinReg_QueryNameOriginalU.
