Приветствую)
Речь в этой теме пойдет о снятии слепков оперативной памяти.
Зачем вообще нам нужен дамп оперативки? Да затем что там можно найти много интереснейших и неожиданных вещей)
Каких? Да разных))) Например ключики от криптоконтейнеров, различные сообщения из чатов и соцсетей, посещенные страницы в инете и вообще море системной информации.
Мы рассмотрим пару вариантов поучения дампа)

Для начала Windows
Вариант 1
Используем бесплатную программу от компании Belkasoft "Belkasoft Live RAM Capture"
Скачать еe можно на оф. сайте, заполняем не большую форму и ссылка приходит к Вам на электронную почту.
Что можно сказать об этой программе, работает быстро и просто, не требует установки.
Запускаем исполняемый файл, выбираем путь куда будет сохранен образ и жмем capture

Вариант 2
FTK Imager
Тоже довольно шустрая программулина, в отличии от первой требует установки.
Скачивается так же как и предыдущая, приходит ссылка на электронную почту. Скачиваем, установка проходит буквально в пару кликов.
После запуска жмем File>CaptureMemory
Точно так же выбираем путь и кликакем Capture Memory
Через несколько минут слепок будет готов)

Linux
Для линукса я использовал только одну программу, имя ей LiME
Это инструмент командной строки

git clone https://github.com/504ensicsLabs/LiME.git

cd LiME/src/

make

insmod lime.ko "path=image.mem format=raw"

и все, в папке будет создан файл image.lime это и есть наш дамп)

Это далеко не все способы получения RAM памяти, есть дистрибутив имеется возможность получения дампа с помощью порта FireWire, так же возможно физическое изьятие ОЗУ с замораживанием платы.

Для исследования содержимого оперативной памяти есть огромное количество утилит, как для линукс систем, так и для windows
На этом я думаю пока что все)

 

многие ее хвалят, а использовал ее кто нибудь реально?
просто у меня постоянно, на разных машинах, она периодически выдает ошибку "failed to load device driver", еще не разу не завелась нормально

поддержка Belkasoft'a ответила, что "Проблема вызвана ужесточением политики Microsoft по сертификации драйверов режима ядра. Это привело к тому, что Live RAM Capturer перестал работать на определённых версиях Windows." и приложили ещё одну версию RAM Capturer'a - прийду домой потестю

 

Для очистки оперативки в linux достаточно ли этого:
sync; echo 1 > /proc/sys/vm/drop_caches,

нужно ли вот это:
echo -n | xclip -selection clipboard
echo -n | xclip -selection primary
echo -n | xclip -selection secondary
echo -n | xclip -selection buffer-cut

либо все не то и надо чтото еще или совсем другое?

так же интересно как получить дамп памяти Linux, ведь если это делать через Lime то необходимы root Права, а это не торт)

 

Сколько времени у Вас работает LiME?
Снять 2Гб RAM с винды удается за пару секунд, независимо от используемой утилиты (коих много), а вот с Linux все не так радужно. Выбора по утилитам нет, все используют LiME, в моем случае он делает дамп со скоростью 1Мб в секунду, что является абсолютно неприемлемым. Можете что-то посоветовать?

 

Добрый день всем, подскажите пожалуйста. Вот я сделал дамп озу на Ubuntu с помощью LiMe, а подскажите, его теперь можно будет как нибудь восстановить обратно на той же машине?

 

Здравы будьте, братья и сестры, дампы снимающие, в IT понимающие! Посмотрите, почитайте, комментарий дайте.

Тыц

Software Diagnostics Institute | Structural and Behavioral Patterns for Software Diagnostics, Forensics and Prognostics. Software Diagnostics Library.

www.dumpanalysis.org

 

FTK Imager - отличная программа, пользовался для снятия дампа RAM на windows, правда для windows 7 больше понравился DumpIt

 

А так же не забывайте отключать файл подкачки и файл гибернации так как оттуда тоже можно достать ключи шифрования

Очень советую к прочтению, самая свежая и полная книга на данную тему
"Practical Memory Forensics Jumpstart effective forensic analysis"
(ISBN 978-1-80107-033-1) First published: December 2022
(Svetlana Ostrovskaya & Oleg Skulkin)

 

Все привет! Возможно снять дамп памяти если диск защищен bitloker? За ранее спасибо!

 

дамп памяти если диск защищен

Диск не хранится в памяти, а скорее наоборот - часть памяти может быть сброшена на диск в файл-подкачки. Поэтому непонятно, дамп чего вы хотите получить.

 

Дамп где лежит ключ восстановления или пин код.

 

C такой постановкой вопроса вы не найдёте ни ключ, ни пин.