L’analyse de la mémoire n’est pas forcément complexe, mais elle demande des connaissances. Peut-on à partir d’une formation rendre l’analyse de la mémoire rapide et diffuser la connaissance à son équipe ?
Pour illustrer mon propos, je vais partir d’une formation que j’ai suivie sur l’analyse de mémoire vive. Mes objectifs étaient d’écrire un plugin volatility pour injecter les résultats dans une instance Splunk puis de réaliser un dashboard au fur et à mesure du cours, des anecdotes et des travaux pratiques.
1. Le plugin Volatility
Au début de la formation, les commandes pour connaître le profil de la capture mémoire, et l’analyse du fichier .volatilityrcsont abordées. Les sorties sont au format texte comme toutes les sorties standards de volatility. Volatility permet d’avoir d’autres sorties telles que greptext, json, sqlite. Alors pourquoi coder une sortie csv quand il y a a minima le greptext ? Simplement pour le défi, mais aussi cela permet de comprendre comment les renderers fonctionnent.
Le point de départ est la sortie greptext dont voici un exemple avec un pslist.
$ vol.py -f memdum.raw --profile=WinXPSP2x86 --output=greptext...
- Accédez à tous les contenus de Connect en illimité
- Découvrez des listes de lecture et des contenus Premium
- Consultez les nouveaux articles en avant-première