PYTHON-HAYSTACK - UM QUADRO FORENSE DE MEMÓRIA E ANÁLISE DE PILHA DE PROCESSOS.

cydec / 15 de junho de 2017 / Comentários desativados em python-palheiro - um quadro de análise pilha forense & Process memória. / Forensics Digital , Framework , Análise de Registro

Python-haystack é uma estrutura de análise de pilha , focada na busca e reversão da estrutura C na memória alocada. A primeira função / API é a função SEARCH. Dá a capacidade de procurar por tipos de registro conhecidos em um despejo de memória de processo ou memória do processo ao vivo.

Python-haystack v0.41

Scripts e Pontos de Entrada: 
existem alguns pontos de entrada para lidar com o formato do seu despejo de memória.

* A pasta de despejo de memória produzida pelo haystack-live-dump
- haystack-find-heap permite mostrar detalhes no Windows HEAP.
- haystack-search search CLI
- haystack-show show CLI para tipo de registro específico em um endereço específico

* Arquivo de despejo de memória produzido por uma ferramenta Minidump
- haystack-find-heap permite mostrar detalhes no Windows HEAP.
- haystack-minidump-search search CLI
- haystack-minidump-show mostra um tipo de registro específico em um endereço específico

* Para processos ao vivo
- haystack-live-dump captura um despejo de memória de processo para uma pasta (formato do palheiro)
- haystack-live-search CLI de busca na memória do processo ao vivo
- haystack-live-show mostra um tipo de registro específico em um endereço específico em Uma memória de processo ao vivo

* Para um dump da memória Rekall
- haystack-rekall-search search CLI para um processo específico em um dump rekall
- haystack-rekall-show mostrar um tipo de registro específico em um endereço
específico - haystack-rekall-dump despejar um processo específico para um palheiro Despejo de processo

Para uma voltagem de volatilidade
- haystack-volatility-search search CLI para um processo específico em uma volatilidade 
- haystack-volatility-show mostrar um tipo de registro específico em um endereço 
específico - haystack-volatility-dump dump um processo específico para um processo de palheiro Despejar

Uso e instalação:

1 2 3

git clone https://github.com/trolldbois/python-haystack && cd python-haystack pip install -r requirements.txt python setup.py install

Fonte: https://github.com/trolldbois

Tags: dfir , dump , Forensics , análise de memória , Python Script