Collect-MemoryDump

Collect-MemoryDump - 用于 DFIR 的 Windows 内存快照自动创建工具

Collect-MemoryDump.ps1 是一个 PowerShell 脚本，用于以符合司法鉴定标准的方式从运行中的 Windows 系统收集内存快照（包括页面文件收集）。

特性：

ARM64 支持（MAGNET DumpIt for Windows 和 MAGNET Response）
在开始内存采集前检查主机名和物理内存大小
检查是否有足够的空闲磁盘空间来保存内存转储文件
使用 MAGNET DumpIt for Windows 收集 Microsoft 崩溃转储
使用 MAGNET DumpIt、MAGNET RAM Capture、Belkasoft Live RAM Capturer 和 WinPMEM 收集原始物理内存转储
使用 MAGNET Response 收集页面文件 ── 在处理反射式 PE 注入技术时非常有用
使用 MAGNET Response 进行分流收集（可选）
使用 MAGNET Response 收集正在运行的进程/模块信息
使用 MAGNET 加密磁盘检测器（EDD）检查加密卷
收集 BitLocker 恢复密钥
检查已安装的端点安全工具（防病毒和 EDR）
枚举目标主机的所有必要信息以丰富您的 DFIR 工作流程
创建密码保护的 Secure Archive 容器（密码：IncidentResponse）

[!TIP] 使用 MemProcFS-Analyzer 对 Windows 内存转储及对应页面文件进行自动化取证分析

首次公开发布

MAGNET Talks - 德国法兰克福（2022年7月27日）
演示主题：现代数字取证与事件响应技术
https://www.magnetforensics.com/

下载

从 Releases 部分下载最新版本的 Collect-MemoryDump。

[!NOTE] Collect-MemoryDump 默认不包含所有外部工具。

您需要下载以下依赖项：

将所需文件复制到以下文件位置：

Belkasoft Live RAM Capturer
$SCRIPT_DIR\Tools\RamCapturer\x64\msvcp110.dll
$SCRIPT_DIR\Tools\RamCapturer\x64\msvcr110.dll
$SCRIPT_DIR\Tools\RamCapturer\x64\RamCapture64.exe
$SCRIPT_DIR\Tools\RamCapturer\x64\RamCaptureDriver64.sys
$SCRIPT_DIR\Tools\RamCapturer\x86\msvcp110.dll
$SCRIPT_DIR\Tools\RamCapturer\x86\msvcr110.dll
$SCRIPT_DIR\Tools\RamCapturer\x86\RamCapture.exe
$SCRIPT_DIR\Tools\RamCapturer\x86\RamCaptureDriver.sys

MAGNET DumpIt for Windows
$SCRIPT_DIR\Tools\DumpIt\ARM64\DumpIt.exe
$SCRIPT_DIR\Tools\DumpIt\x64\DumpIt.exe
$SCRIPT_DIR\Tools\DumpIt\x86\DumpIt.exe

MAGNET Encrypted Disk Detector
$SCRIPT_DIR\Tools\EDD\EDDv310.exe

MAGNET Ram Capture
$SCRIPT_DIR\Tools\MRC\MRCv120.exe

MAGNET Response
$SCRIPT_DIR\Tools\MagnetRESPONSE\MagnetRESPONSE.exe

查看：Wiki: 如何添加或更新依赖项

用法

.\Collect-MemoryDump.ps1 [-Tool] [--Pagefile] [--Triage]

示例 1 - 收集 Microsoft 崩溃转储和页面文件

.\Collect-MemoryDump.ps1 -Comae --Pagefile

示例 2 - 收集原始物理内存转储和页面文件

.\Collect-MemoryDump.ps1 -DumpIt --Pagefile

示例 3 - 收集原始物理内存转储

.\Collect-MemoryDump.ps1 -WinPMEM

示例 4 - 收集 Microsoft 崩溃转储、页面文件和取证痕迹

.\Collect-MemoryDump.ps1 -Comae --Pagefile --Triage

[!IMPORTANT]
目标系统上必须安装 Microsoft .NET Framework 4（或更高版本）才能使用 MAGNET Encrypted Disk Detector 和 MAGNET Response。只需跳过页面文件收集，或从 Microsoft 下载站点下载并安装 Microsoft .NET Framework 4（独立安装程序）：
https://www.microsoft.com/en-us/download/details.aspx?id=17718