מקווה שזה הפורום הנכון, יש לי שאלה.

מישהו מכיר דרך לעשות dump ל-RAM מרחוק? ממה שאני מבין דבר כזה ניתן רק באמצעות client/server מבוסס agent-ים. בינתיים שמעתי על encase, איזה עוד יש?

תודה

אני די בטוח שזה נופל תחת "תכנות", כי לרשת אין "זכרון"... per se.

נמאס לכם לזכור סיסמאות? לחצו כאן!

DONE

נמאס לכם לזכור סיסמאות? לחצו כאן!

חשוב לך לעשות dump של כל ה-ram? או שאתה מתכוון לעשות dump לזכרון של תהליך מסוים?

ציטוט:

במקור נכתב על ידי Michael Shermer Smart people are very good at rationalizing things they came to believe for non-smart reasons.

אני יכול לחשוב על כמה דרכים:
1. תשתמש בpsexec בשביל להריץ בצורה מרוחקת את livekd עם פקודת debugger לקחת kernel dump.
2. תתחבר עם windbg למכונה המרוחקת כ-kernel debugger דרך com port (דורש ריסטרט).
3. דרך ערבית תהיה לתת לwindows לקחת את הdump בשבילך ולכתוב scheduled task שמעתיק את קובץ ה dump הצידה בעליה של המחשב. אפשר להקריס עם NotMyFault.

לינקים רלוונטים:
http://www.forensicswiki.org/wiki/T...ging_Techniques
http://support.microsoft.com/kb/969028

ציטוט:

במקור נכתב על ידי Michael Shermer Smart people are very good at rationalizing things they came to believe for non-smart reasons.

ציטוט:

במקור נכתב על ידי fap תשתמש בpsexec בשביל להריץ בצורה מרוחקת את livekd עם פקודת debugger לקחת kernel dump.

רעיון טוב, תודה!

לא.
אתה רק צריך sysinternals במחשב המקומי.
תריץ את psexec עם c- בשביל להעתיק את livekd למחשב המרוחק.

ציטוט:

במקור נכתב על ידי Michael Shermer Smart people are very good at rationalizing things they came to believe for non-smart reasons.

כבל FireWire ארוך.
אפשר להשתמש ב-DMA ולקרוא את הזיכרון ישירות. לפי גוגל יש עוד טכנולוגיות שתומכות ב-DMA באופן דומה (Thunderbolt... לולז).

וברצינות: שקלת לתת קצת פרטים?
אם המחשב שאתה רוצה לדגום מריץ XP ומעלה וגם יש לך הרשאות אדמין מרוחקות מלאות אליו (על כל מה שזה כולל - הפורטים המתאימים פותחים בפיירוול, התאמה בשיטות האותנתיקציה בין הלקוח לשרת, "Remote UAC" מבוטל/מחשב בדומיין, וכו'), אז כנראה ש-psexec+livekd זה הפיתרון הכי טוב. (פה יש גרסה שלכאורה תעבוד על ווינדוס 2000, אבל לך תדע מה יש באתר הזה... http://court.shrock.org/sysinternals-bt/)

עד כדי זה שה-RAM לא במצב יציב או עקבי, כן?
(אולי לבצע hibernation ולקרוא את קובץ hiberfil.sys יהיה עדיף מהבחינה הזאת. צריך לבדוק.)

האם זה המצב שלך? מאיפה לי לדעת? לא אמרת...

(קרדיט למרשי)
אמר לה ינאי מלכא לדביתיה אל תתיראי מן הפרושין ולא ממי שאינן פרושין אלא מן הצבועין שדומין לפרושין שמעשיהן כמעשה זמרי ומבקשין שכר כפנחס
אמר פסטן: שניהם גרועים, אבל עדיף להיות טיפש מאשר שקרן.

יש לי הרשאות מלאות, המערכות מריצות WIN7.
נראה לי עדיף psexec מלפתח משהו שעושה hibernation מרוחק, מעלה מערכת עם מע"ה אחרת (אחרי ה-hiberfil.sys נטען לזיכרות ונמחק אם אני ממשיך את המערכת), עושה mount ל-HD, מחלץ את הקובץ ושולח אותו אליי בחזרה...

הקטע הוא שlivekd דורש kd.exe שנמצא בחבילת debugging לא?

חוץ מזה, איזה עוד פרטים אתה צריך?

ציטוט:

במקור נכתב על ידי Quick יש לי הרשאות מלאות, המערכות מריצות WIN7.

שמתי לב שלא התייחסת לקטע של Remote UAC. בדקת כבר שאתה יכול לבצע psexec?

ציטוט:

במקור נכתב על ידי Quick נראה לי עדיף psexec מלפתח משהו שעושה hibernation מרוחק, מעלה מערכת עם מע"ה אחרת (אחרי ה-hiberfil.sys נטען לזיכרות ונמחק אם אני ממשיך את המערכת), עושה mount ל-HD, מחלץ את הקובץ ושולח אותו אליי בחזרה...

מה זה כבר להעלות מע"ה אחרת? תעלה לינוקס באמצעות שינוי זמני של ה-boot sector או באמצעות PXE מרחוק או משהו בסגנון ושלח את הקובץ לרשת...
לא אכפת לך מזה שאתה מקבל תמונה 'מטושטשת' של הזיכרון?

ציטוט:

במקור נכתב על ידי Quick הקטע הוא שlivekd דורש kd.exe שנמצא בחבילת debugging לא?

כן. רשמית עושה רושם שאתה צריך להתקין את ה-MSI, כדי לעמוד בתנאי הרישיון של MS, אבל IANAL וגו'.

ציטוט:

במקור נכתב על ידי Quick חוץ מזה, איזה עוד פרטים אתה צריך?

מה בכלל המטרה שלך בכל הסיפור הזה?
(נגיד, בעזרת livekd על ווינדוס ויסטה ומעלה אפשר לקבל תמונה עקבית - אבל רק של הקרנל.)

חוץ מזה, עכשיו התסכלתי על הקישור ש-FAP הביא לך למעלה, ויש שם כמה תוכנות שגם אמורות לעשות את זה. אולי.

(קרדיט למרשי)
אמר לה ינאי מלכא לדביתיה אל תתיראי מן הפרושין ולא ממי שאינן פרושין אלא מן הצבועין שדומין לפרושין שמעשיהן כמעשה זמרי ומבקשין שכר כפנחס
אמר פסטן: שניהם גרועים, אבל עדיף להיות טיפש מאשר שקרן.

כן, אני יכול לעשות psexec

והמטרה שלי זה לטעון את הקובץ dump ל-volatility framework אם אתה מכיר

מצוין. volatility מתה על הפורמט הזה.

(קרדיט למרשי)
אמר לה ינאי מלכא לדביתיה אל תתיראי מן הפרושין ולא ממי שאינן פרושין אלא מן הצבועין שדומין לפרושין שמעשיהן כמעשה זמרי ומבקשין שכר כפנחס
אמר פסטן: שניהם גרועים, אבל עדיף להיות טיפש מאשר שקרן.