Collect-MemoryDump是一款针对Windows的数字取证与事件应急响应工具,该工具能够自动创建Windows内存快照以供广大研究人员或应急响应安全人员进行后续的分析和处理。
项目提供的Collect-MemoryDump.ps1是一个PowerShell脚本文件,该脚本主要功能就是从一个活动的Windows操作系统中收集内存快照。
1、开始获取内存之前检查主机名和物理内存大小;
2、检查是否有足够的可用磁盘空间来保存内存转储文件;
3、支持收集原始内存转储 w/ Dumplt;
4、从Magnet Idea Lab收集Microsoft Crash Dump w/DumpIt;
5、支持检查加密磁盘数据;
6、支持收集BitLocker恢复密钥;
7、支持检查已安装的终端安全工具(反病毒和EDR产品);
8、支持枚举目标主机中的所有必要信息,以丰富DFIR工作流;
9、支持创建受密码保护的安全存档容器;
广大研究人员可以直接访问该项目的【Releases页面】下载最新版本的Collect-MemoryDump。
注意:Collect-MemoryDump默认并不包含所有的外部工具。因此,我们需要手动下载下列工具依赖组件:
1、Belkasoft Live RAM Capturer
2、Comae-Toolkit
3、MAGNET Encrypted Disk Detector
4、MAGNET Ram Capture
接下来,将工具所需的文件拷贝到下列文件路径:
Belkasoft Live RAM Capturer
$SCRIPT_DIR\Tools\RamCapturer\x64\msvcp110.dll
$SCRIPT_DIR\Tools\RamCapturer\x64\msvcr110.dll
$SCRIPT_DIR\Tools\RamCapturer\x64\RamCapture64.exe
$SCRIPT_DIR\Tools\RamCapturer\x64\RamCaptureDriver64.sys
$SCRIPT_DIR\Tools\RamCapturer\x86\msvcp110.dll
$SCRIPT_DIR\Tools\RamCapturer\x86\msvcr110.dll
$SCRIPT_DIR\Tools\RamCapturer\x86\RamCapture.exe
$SCRIPT_DIR\Tools\RamCapturer\x86\RamCaptureDriver.sys
Comae-Toolkit
$SCRIPT_DIR\Tools\DumpIt\ARM64\DumpIt.exe
$SCRIPT_DIR\Tools\DumpIt\x64\DumpIt.exe
$SCRIPT_DIR\Tools\DumpIt\x86\DumpIt.exe
MAGNET Encrypted Disk Detector
$SCRIPT_DIR\Tools\EDD\EDDv310.exe
MAGNET Ram Capture
$SCRIPT_DIR\Tools\MRC\MRCv120.exe
.\Collect-MemoryDump.ps1 [-Tool] [--Pagefile]
.\Collect-MemoryDump.ps1 -DumpIt
.\Collect-MemoryDump.ps1 -Comae
使用样例3
.\Collect-MemoryDump.ps1 -WinPMEM --Pagefile
本项目的开发与发布遵循GPL-3.0开源许可证协议。
Collect-MemoryDump:
https://github.com/evild3ad/Collect-MemoryDump
https://www.magnetforensics.com/
https://github.com/evild3ad/Collect-MemoryDump/wiki/How-to-add-or-update-dependencies
https://www.comae.com/
https://github.com/ufrisk/MemProcFS
https://github.com/Velocidex/WinPmem
https://www.magnetforensics.com/resources/magnet-ram-capture/
https://www.magnetforensics.com/resources/encrypted-disk-detector/
https://github.com/orlikoski/CyLR
https://www.magnetforensics.com/blog/how-to-get-started-with-comae/
https://belkasoft.com/ram-capturer
精彩推荐