RAM की छवि प्राप्त करें

मशीन के साथ पिछले संचालन के अध्ययन में रैम की सामग्री बहुत महत्वपूर्ण जानकारी है। RAM में निष्पादन योग्य प्रक्रियाओं के दोनों भाग और हटाए गए फ़ाइलों के भाग, उपयोगकर्ता सत्र, क्रिप्टोग्राफ़िक कुंजियाँ हो सकती हैं। क्रिप्टोग्राफी पर आधारित जटिल सूचना सुरक्षा प्रणालियों के आधुनिक प्रसार के साथ, उनकी कुंजी की बहाली अनुसंधान के लिए मुख्य कार्यों में से एक बन जाती है। सुरक्षित प्रणालियों में, रैम अक्सर एकमात्र स्थान होता है जहां सुरक्षा कुंजी और अन्य अस्थायी होते हैं, लेकिन बहुत महत्वपूर्ण जानकारी संग्रहीत की जा सकती है।


रैम में निहित जानकारी प्राप्त करने की प्रक्रिया में दो चरण होते हैं: रैम की सामग्री को हटाना
और
जब्ती के दौरान प्राप्त आंकड़ों का विश्लेषण।

पहले चरण पर ध्यान देते हुए, यह ध्यान देने योग्य है कि रैम को हटाने का उपयोग कई तरीकों से किया जा सकता है: विशेष विस्तार कार्ड, एक फायरवायर पोर्ट, और यहां तक ​​कि मेमोरी डिवाइस को भौतिक रूप से हटाने के लिए मेमोरी तक सीधी पहुंच (इसे बोर्डों को फ्रीज करने की आवश्यकता होगी)



लेकिन इस लेख में हम सॉफ्टवेयर टूल्स पर विचार करेंगे जो आपको तथाकथित "हॉट" रिबूट द्वारा संरक्षित मशीनों की रैम की सामग्री को हटाने और मशीन को लाइव-मोड में शुरू करने की अनुमति देते हैं।

इस कार्य को पूरा करने के लिए, हम एक विशेष उबंटू साइबरपैक (आईआरएफ) 1.0 वितरण किट का उपयोग करेंगे, जिसमें कम से कम घटकों का एक सेट शामिल होगा, अर्थात् केवल उन जो स्मृति से डेटा को निकालने के लिए आवश्यक हैं। तदनुसार, कोई ग्राफ़िकल इंटरफ़ेस नहीं है।

रैम की सामग्री को हटाने के लिए इस दृष्टिकोण का उपयोग करने से ऊपर सूचीबद्ध अन्य उपकरणों की तुलना में कई फायदे और नुकसान हैं।
पेशेवरों:
- लाइव-वितरण का उपयोग आपको अध्ययन के तहत मशीन पर स्थापित ऑपरेटिंग सिस्टम की परवाह किए बिना कार्रवाई करने की अनुमति देता है;
- महंगे विशेष उपकरणों, केबलों, बोर्डों आदि की खरीद के लिए कोई लागत नहीं है।
नुकसान:
- रैम की सामग्री अधूरी होगी - इसका हिस्सा लाइव वितरण (लगभग 125 मिलियन) चलाने के लिए आवश्यक डेटा के साथ ओवरराइट किया जाएगा।

3 जीबी (i386) तक की मेमोरी क्षमता और 3 जीबी (amd64) से अधिक मशीनों के उपयोग के लिए विशेष रूप से इकट्ठे वितरण उपलब्ध हैं। उनकी मदद से, आप एक बूट करने योग्य सीडी / डीवीडी-रॉम या बूट करने योग्य यूएसबी-ड्राइव बना सकते हैं।

टिप्पणी:
- सिस्टम हमें दूसरा मौका नहीं देता है - हमारे पास केवल एक प्रयास है। यानी, जब जांच के तहत कंप्यूटर को फिर से शुरू किया जाता है, तो एक उच्च संभावना है कि अब हमें आवश्यक जानकारी नहीं मिलेगी। यह इस प्रकार है कि आपको इसे कई बार पुनरारंभ करने की आवश्यकता नहीं है, प्रयोग करें, लक्ष्य करें।
आपको पहले से तैयारी करने की आवश्यकता है और पता है कि रिबूट के बाद कंप्यूटर कैसे व्यवहार करेगा।
अधिकांश आधुनिक कंप्यूटर आपको स्टार्टअप पर निर्दिष्ट करने की अनुमति देते हैं जहां डाउनलोड करना है, लेकिन यदि नहीं, तो आपको सीडी / डीवीडी ड्राइव या यूएसबी ड्राइव / ड्राइव से बूट करने के लिए मशीन के BIOS को कॉन्फ़िगर करने की आवश्यकता है, और फिर निर्दिष्ट डिवाइस से लाइव वितरण डाउनलोड करें।

तो चलिए शुरू करते हैं।

कंप्यूटर को रिबूट करें।
महत्वपूर्ण: रिबूट को किसी भी स्थिति में ठंडा नहीं होना चाहिए (रीसेट बटन दबाकर या पावर को चालू / बंद करके), अर्थात्, रिबूट को सिस्टम का उपयोग करके स्वयं किया जाना चाहिए (उदाहरण के लिए, Ctrl-Alt-Del बटन दबाकर या "चयन करके" रिबूट "सिस्टम में)

वितरण को डाउनलोड करने के बाद, उपयोगकर्ता परिचित लिनक्स कंसोल लाइन तक पहुंच सकता है, और मॉड्यूल शुरू करने के लिए संक्षिप्त जानकारी।


Femem प्रोग्राम की तैयारी में निम्नलिखित कमांड निष्पादित करने में शामिल हैं:
$ सुडो-एस
# सीडी / ऑप्ट (उस फ़ोल्डर पर जाएं जहां कार्यक्रम स्थित है);
# ./run-fmem.sh (मेमोरी रिमूवल मॉड्यूल शुरू करने के लिए स्क्रिप्ट);

नोट: आगे की कार्रवाइयों के लिए, आपको पहले से तैयार मीडिया (एक्सटर्नल हार्ड ड्राइव, फ्लैश ड्राइव) को ext2 / 3/4 फाइल सिस्टम के साथ माउंट करना होगा, जिसमें रैम की सामग्री वाली फाइल सेव हो जाएगी।

यह पता लगाने के लिए कि कौन सा पहचानकर्ता सिस्टम को संलग्न माध्यम को सौंपा है, इसे कंप्यूटर से जोड़ने के बाद, निम्न कमांड दर्ज करें:
# dmesg | पूंछ (कमांड कर्नेल संदेश बफ़र जानकारी प्रदर्शित करता है। हम अंतिम प्रविष्टि में रुचि लेंगे।)
इस तरह के उदाहरण के लिए:
[16091.995428] एसडी 9: 0: 0: 0: संलग्न scsi जेनेरिक sg2 प्रकार 0
[16091.995996] sd 9: 0: 0: 0: [sdb] 32096120 512-बाइट तार्किक ब्लॉक: (16.4 GB / 15.3 GiB)
[16091.998192] sd 9: 0: 0: 0: [sdb] राइट प्रोटेक्ट ऑफ है
[16091.998205] sd 9: 0: 0: 0: [sdb] मोड सेंस: 0b 00 00 08
[16091.999433] sd 9: 0: 0: 0: [sdb] कोई कैशिंग मोड पृष्ठ नहीं मिला
[16091.999447] sd 9: 0: 0: 0: [sdb] ड्राइव कैश मान लें: इसके माध्यम से लिखें
[16092.003486] sd 9: 0: 0: 0: [sdb] कोई कैशिंग मोड पृष्ठ नहीं मिला
[16092.003495] sd 9: 0: 0: 0: [sdb] ड्राइव कैश मान लें: इसके माध्यम से लिखें
[16092.004251] sdb: sdb1
(जहाँ "sdb" भौतिक ड्राइव का निर्दिष्ट पदनाम है, और "sdb1" ड्राइव के तार्किक विभाजन का निर्दिष्ट पदनाम है)।

अगला, लाइव मोड में लोड किए गए ऑपरेटिंग सिस्टम के / tmp फ़ोल्डर में ड्राइव के तार्किक विभाजन को माउंट करें:

# आरोह / देव / sdb1 / tmp
(जहां
"माउंट" - डिवाइस माउंट कमांड
"" देव / sdb1 "- संलग्न ड्राइव के तार्किक विभाजन का फ़ाइल पता
"Tmp" - वह फ़ोल्डर जिसमें ड्राइव कनेक्ट होना चाहिए)।

सभी प्रारंभिक कदम उठाए गए हैं - आप राम की सामग्री को हटाने के लिए आगे बढ़ सकते हैं:

# dd if = / dev / fmem of = / tmp / ram-image.mem bs = 1K count = `हेड -1 / proc / meminfo | awk '{प्रिंट $ 2}' '
(जहां
"डीडी" - छवि निर्माण कमान
"यदि / / देव / fmem" - एक डेटा स्रोत, अर्थात् यादृच्छिक अभिगम स्मृति
"Of = / tmp / ram-image.mem" - फ़ोल्डर "tmp" में फाइल "ram-image.mem" पर लिखें
"Bs = 1K" - सूचना ब्लॉक आकार - 1 Kb
"गिनती =` सिर -1 / खरीद / ज्ञापन | awk '{प्रिंट $ 2}' '' - RAM की मात्रा, जिसके बारे में जानकारी फ़ाइल / proc / memffo से निकाली जाती है)।

और हम इंतजार कर रहे हैं ...
कमांड के सफल निष्पादन के परिणामस्वरूप, हमें इसके समान संदेश मिलता है:

521453568 बाइट्स (521 MB) कॉपी किए गए, 158.405 s, 3.3 MB / s
(जहां
"521453568 बाइट्स (521 एमबी) कॉपी किया गया" - नकल की गई जानकारी की मात्रा
"158.405 s" - जिस समय के दौरान ऑपरेशन किया गया था
"3.3 एमबी / एस" - जिस गति से ऑपरेशन किया गया था)

नतीजतन, हमें ड्राइव पर फ़ाइल "RAM-image.mem" में मशीन की रैम की सामग्री मिली। अब इसे सहित संसाधित किया जा सकता है निष्पादन योग्य प्रक्रियाओं के कुछ हिस्सों को हटाना, नष्ट कर दी गई फाइलें, उपयोगकर्ता सत्रों के बारे में जानकारी, क्रिप्टोग्राफ़िक कुंजी और बहुत कुछ।

पुनश्च
यह भी ध्यान देने योग्य है कि सभी आधुनिक प्रणालियां अपने काम में स्वैप मेमोरी (तथाकथित "स्वैप फाइल") का उपयोग करती हैं
स्वैप फ़ाइल आपके कंप्यूटर के रैम (जो कि प्रोसेसर को त्वरित डिलीवरी के लिए डेटा के अस्थायी भंडारण से संबंधित है) के अतिरिक्त है। इतना भी नहीं है कि इसके विस्तार के रूप में या, कोई कह सकता है, एक निरंतरता। तथ्य यह है कि जब पर्याप्त रैम नहीं होती है, तो सिस्टम डेटा को मेमोरी से डिस्क (तथाकथित अतिरिक्त मेमोरी) में स्थानांतरित कर सकता है, जो डेटा को तदनुसार संग्रहीत भी करता है।
और स्मृति विश्लेषण की पूरी तस्वीर के लिए, आपको उन्हें भी प्राप्त करना होगा।
विभिन्न ऑपरेटिंग सिस्टम विभिन्न भंडारण विधियों का उपयोग करते हैं।

विंडोज के मामले में, ये आमतौर पर C सिस्टम ड्राइव के रूट की फाइलें होती हैं:
Winf XP और Win 7 के लिए pagefile.sys और फ़ाइल की प्रतिलिपि बनाएँ

लिनक्स के लिए, यह मीडिया पर एक अलग सेक्शन है।
उदाहरण के लिए:
सूदो fdisk -l / dev / sda कमांड
सिस्टम में सभी वर्गों को दिखाएगा
/ dev / sda1 * 2048 78125055 39061504 83 लिनक्स
/ dev / sda2 78125056 117186559 19530752 82 लिनक्स स्वैप / सोलारिस
/ देव / sda3 117186560 625141759 253977600 83 लिनक्स
हम जो देखते हैं उसके आधार पर स्वैप विभाजन / dev / sda2 में होता है
आप इसे dd कमांड का उपयोग करके भी कॉपी कर सकते हैं।
उदाहरण के लिए:
dd if = / dev / sda2 of = / media / <पाथ जहां लिखने के लिए> /linux-swap.dd

MacOS के लिए, आपको निर्देशिका / निजी / var / vm / swapfile * से सभी फ़ाइलों को कॉपी करने की आवश्यकता है

परिणामों का प्रसंस्करण और विश्लेषण (दोनों एक रैम डंप और एक स्वैप मेमोरी) दोनों का उपयोग मैन्युअल रूप से किया जा सकता है, उदाहरण के लिए, एक हेक्स संपादक, और अगली बार चर्चा किए जाने वाले कई कार्यक्रमों की मदद से।