mcpField
A
analyzing-memory-forensics-with-lime-and-volatility

analyzing-memory-forensics-with-lime-and-volatility

github.com/mukul975安全35.2k321 次安装8 周前更新
代码仓库

关于 analyzing-memory-forensics-with-lime-and-volatility

供安全分析人员使用 LiME 获取 Linux 内存，并通过 Volatility 3 检查镜像的操作指南，涵盖进程、命令历史、网络和内核模块检查。

主要功能

  1. 01使用 LiME 获取 Linux 内存
  2. 02使用 Volatility 3 分析镜像
  3. 03对比进程列表与扫描结果
  4. 04提取 Bash 命令历史
  5. 05检查网络连接和内核模块

适用场景

  1. 01在事件响应中采集内存
  2. 02检查隐藏或异常进程
  3. 03审查命令历史与网络活动
  4. 04调查可疑内核模块

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill analyzing-memory-forensics-with-lime-and-volatility

安装后在 Claude Code 中输入/analyzing-memory-forensics-with-lime-and-volatility确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
references/
api-reference.md
scripts/
agent.py

详细介绍

使用 LiME 和 Volatility 分析内存取证

适用场景

  • 调查需要使用 LiME 和 Volatility 分析内存取证的安全事件时
  • 为此领域编写检测规则或威胁搜寻查询时
  • SOC 分析师需要此类分析的结构化流程时
  • 验证针对相关攻击技术的安全监控覆盖情况时

前提条件

  • 熟悉安全运营概念和工具
  • 可访问用于安全执行的测试或实验环境
  • 已安装所需依赖项的 Python 3.8+
  • 对任何测试活动拥有适当授权

说明

使用 LiME 内核模块采集 Linux 内存，然后使用 Volatility 3 分析内存映像， 以提取取证痕迹。

# LiME acquisition
insmod lime-$(uname -r).ko "path=/evidence/memory.lime format=lime"

# Volatility 3 analysis
vol3 -f /evidence/memory.lime linux.pslist
vol3 -f /evidence/memory.lime linux.bash
vol3 -f /evidence/memory.lime linux.sockstat

import volatility3
from volatility3.framework import contexts, automagic
from volatility3.plugins.linux import pslist, bash, sockstat

# Programmatic Volatility 3 usage
context = contexts.Context()
automagics = automagic.available(context)

关键分析步骤：

  1. 使用 LiME 采集内存（format=lime 或 format=raw）
  2. 使用 linux.pslist 列出进程，并与 linux.psscan 的结果进行比较
  3. 使用 linux.bash 提取 bash 命令历史记录
  4. 使用 linux.sockstat 列出网络连接
  5. 使用 linux.lsmod 检查已加载的内核模块，以查找 Rootkit

示例

# Full forensic workflow
vol3 -f memory.lime linux.pslist | grep -v "\[kthread\]"
vol3 -f memory.lime linux.bash
vol3 -f memory.lime linux.malfind
vol3 -f memory.lime linux.lsmod

评论

支持 Markdown