THT DUYURU

Adli Bilişim Adli bilişim, veri kurtarma, forensic vb... adli bilişimin konusu olan birçok bilgiye buradan ulaşabilirsiniz.

takipci
chat
Seçenekler

Adli Bilişimde Ram İmajı Almak ve Ram Analizi

DeneyimsizDenek - ait Kullanıcı Resmi (Avatar)
Özel Üye
Üyelik tarihi:
02/2011
Nereden:
Gökyüzü
Yaş:
30
Mesajlar:
11.765
Konular:
2290
Teşekkür (Etti):
2117
Teşekkür (Aldı):
8461
Ticaret:
(0) %
14-02-2018 19:28
#1
Adli Bilişimde Ram İmajı Almak ve Ram Analizi


İmaj alma ve üzerinde çalışma yapma aşamasından öncesinde ram mantığını anlatmak isterim kısaca. Ram, Random Access Memory demektir. Yani rastgele erişilebilir bellek. Geçici hafıza dediğimiz kısımdır. Sizlerin bilgisayarınızda kalıcı olarak saklamak istemediğiniz, gerek duymadığınız şeyler burada saklanır. Örnek vermek gerekirse, bir oyun oynuyorsunuz ve açılışta bir bekleme süresi tanıyor. İşte bu esnada oyun paketleri geçici belleğe yüklenir. Bu sayede daha hızlı erişim sağlanır oyun esnasında. Kimi oyunlarda belli bir aşamaya gelince birkaç saniyeliğine bekletir ve yeni dosyaları o aralıkta geçici belleğe aktarmayı tercih eder. Diğer yandan çerez bilgileri, son yaptığınız işlemler ve daha pek çok şey bu bellekte yer alır. Ancak enerji kesildiğinde yani bilgisayarı kapattığınızda, şarjı bittiğinde veya prizden çektiğinizde, özetle bilgisayarın enerjisini kestiğinizde geçici bellek kendini sıfırlar. Şimdi ram analizi yaparken nelere erişebileceğimiz kafanızda daha iyi şekillenmiş olmalı.

Öncelikle ram imajını nasıl alacağız bunu anlatalım. Demiştik ya enerji kesintisinde bellek kendini sıfırlar. İşte bu yüzden çalışır durumda kalmak zorundadır imaj alınacak cihaz. Filmlerden hatırlarsınız, bir hacker vardır özel tim girer kapıyı bir tekmeyle parçalar, hackerı tutuklar kasayı çeker sırtlar götürür. Öyle bir dünya yok. O enerji kesilirse ramdeki tüm bilgiler kaybolur. Çalışır halde imaj alınmalıdır. Diğer yandan şayet siz kapınızda özel tim falan görürseniz ramdeki bilgileri kaçırmak adına bilgisayarı kapatabilirsiniz evet.



Ram imajı almak için yardımcı birçok program var. Ben Windows’ta çalıştığınızı kabul ederek Ram Capture programını önereceğim. Programı açtıktan sonra “.mem” uzantılı imajın nereye kaydolacağını belirliyorsunuz ve capture butonuna basıyorsunuz. Hepsi bu. Belli bir sürecin sonunda imajı alıyor. İşte şimdi o bilgisayar kapanabilir. Çünkü geçici belleğin kopyası eksiksiz elinizde.



Gelelim bunun incelenmesine. İncelemeyi de linux üzerinde yaptığınızı kabul ediyorum ve “volatility” aracı üzerinden anlatımıma devam ediyorum. Öncelikle ram dosyamızın olduğu dizine geçiyoruz “cd” komutu ile. Daha sonra çalışmaya başlıyoruz. “volatility -f ram.mem imageinfo” komutu ile ram imajımızı aldığımız bilgisayarın işletim sistemine dair bilgi topluyoruz. Sonraki komutlarda da ihtiyacımız olacak.

Daha sonrasında çok fazla komutla çalışmak mümkün. Tamamı için “volatility -help” komutunu çalıştırabilirsiniz. Ben önemli olanlardan bahsedip birkaç örnek görüntü paylaşacağım.



Kod:
volatility -f ram.mem –profiles WinXPSP2x86 hashdump
Bu komut ile Windows sistemdeki kullanıcıları ve şifrelerini tespit etmeniz mümkün. Şifreler md5 formatında geliyor olacak.. Onları kırmak da size kalmış.



Kod:
volatility -f ram.mem –profiles WinXPSP2x86 iehistory
Bu komutla da internet explorer geçmişini görmek mümkün. Aman canım explorer kullanan mı kaldı? Eh kalmadı fakat ben yine yazımda belirteyim. Chrome ve diğer tarayıcılardan geçmişi çeken araçlar da var.



volatility -f ram.mem –profiles WinXPSP2x86 notepad

Bu komut ise notepad üzerinde yapılan son işlemleri kaydeder. Dikkat ettiyseniz internet geçmişinde son girilenlerde bir txt dosyası yer alıyordu. Burada da acaba onda ne yazıyormuş diye bakmış olduk. Son yazılan sizce de şüpheli değil mi? Sezar şifrelemeye benziyor. İsterseniz araştırın bakalım ne yazıyormuş notepad dosyasındaki şifreli metinde.



Kod:
volatility -f ram.mem –profiles WinXPSP2x86 pslist
Pslist ile o esnada çalışan programları görmek mümkün. Ram imajı aldığınız programı da görmeniz güçlü ihtimal. Sonuçta son çalışanlar listesinde o da var.



Kod:
volatility -f ram.mem –profiles WinXPSP2x86 dlllist
Bu komutta ise dll listesi oluşturur bizim için. Bu komutla beraber örneklerimi sonlandırayım. Sizler diğer komutları inceleyebilirsiniz. Çok ilginizi çeken bir komut varsa veya merak ettiğiniz, yorum olarak bırakabilirsiniz. Sürücüleri listelemek, dump işlemleri yapmak da mümkün imaj içerisinde.


---------------------

ATATÜRK'LE KALIN...

CUMHURİYETLE KALIN...
SAĞLICAKLA KALIN...


https://i.resimyukle.xyz/HdQ4GB.png
BLOGUMA GİTMEK İÇİN TIKLA!
info@caglar-celik.com
Twitter : @ddenekk


Slaptonimus - ait Kullanıcı Resmi (Avatar)
Üye
Üyelik tarihi:
06/2017
Mesajlar:
444
Konular:
60
Teşekkür (Etti):
20
Teşekkür (Aldı):
38
Ticaret:
(0) %
14-02-2018 19:40
#2
Eline sağlık reis her ne kadar değeri bilinmesede altın değerinde bir konu içeriği paylaşmışsın.
--------------------- Şüphe etmek düşünmektir,
Düşünmekse var olmaktır.
Öyleyse var olduğum şüphesizdir.

Düşünüyorum o halde varım!


-Rene Descartes
Rebii - ait Kullanıcı Resmi (Avatar)
Üye
Üyelik tarihi:
10/2009
Nereden:
BURSA
Yaş:
29
Mesajlar:
117
Konular:
16
Teşekkür (Etti):
16
Teşekkür (Aldı):
14
Ticaret:
(0) %
14-02-2018 19:41
#3
Bu konularda ne kadar bilgi eksikliğim olsa da konuyu baştan sonra görselleriyle birlikte incelediğimde en azından mantığını anlayabildim. Elinize emeğinize sağlık.
---------------------
Güneş geceyi sevmedi diye ay doğmayı bırakmaz.
16player16 - ait Kullanıcı Resmi (Avatar)
İhbar Hattı Görevlisi
Üyelik tarihi:
02/2016
Nereden:
google
Mesajlar:
7.072
Konular:
1567
Teşekkür (Etti):
141
Teşekkür (Aldı):
777
Ticaret:
(0) %
14-02-2018 19:58
#4
eline sağlık gerçekten iyi bir konu ram imajı alındığını ilk defa sayende öğrendim
--------------------- PALA Çiçero Liserjik BeoWulf007



siberdrone15 - ait Kullanıcı Resmi (Avatar)
Üye
Üyelik tarihi:
08/2016
Mesajlar:
4.438
Konular:
526
Teşekkür (Etti):
1782
Teşekkür (Aldı):
778
Ticaret:
(0) %
14-02-2018 20:02
#5
yeni bir şey öğrendim iyi oldu eline sağlık
MTTK - ait Kullanıcı Resmi (Avatar)
Üye
Üyelik tarihi:
03/2017
Mesajlar:
944
Konular:
18
Teşekkür (Etti):
31
Teşekkür (Aldı):
70
Ticaret:
(0) %
14-02-2018 20:33
#6
eline sağlık güzel bir konu olmuş
--------------------- PC Hack --> %30
Web Hack, Security --> %50
Webmaster --> %10
HTML --> %10
PHP, Asp --> %10
SQL --> %30
VisualBasic --> %5
C#, C++, C --> %5
Video Animasyon --> %10
Exploits --> %5
Sosyal Mühendislik --> %65
Web Tasarım --> %20
Photoshop --> %20
Keylogger --> %70
Trojan --> %70
AJEXA - ait Kullanıcı Resmi (Avatar)
Tamamen Forumdan Uzaklaştırıldı
Üyelik tarihi:
06/2013
Nereden:
Jüpiter
Mesajlar:
6.918
Konular:
369
Teşekkür (Etti):
1124
Teşekkür (Aldı):
2378
Ticaret:
(0) %
14-02-2018 21:23
#7
Eline emeğine sağlık
UnknownOrg - ait Kullanıcı Resmi (Avatar)
Üye
Üyelik tarihi:
03/2018
Nereden:
3333
Mesajlar:
612
Konular:
49
Teşekkür (Etti):
95
Teşekkür (Aldı):
96
Ticaret:
(0) %
24-04-2018 17:51
#8
birde rom var kalıcı bellek diye onunda imajı varmı? @DeneyimsizDenek
--------------------- Bize Biat Etmeyen Potansiyel Düşman Sayılır.

YESBUTNO - ait Kullanıcı Resmi (Avatar)
Üye
Üyelik tarihi:
12/2017
Mesajlar:
764
Konular:
90
Teşekkür (Etti):
296
Teşekkür (Aldı):
95
Ticaret:
(0) %
24-04-2018 18:14
#9
Hocam eline emeğine sağlık en azından mantığını anladım.

Bookmarks


« Önceki Konu | Sonraki Konu »
Seçenekler