İleri bellek analizi: enjeksiyon, gizlenme ve Linux bellekleri
Kod enjeksiyonunu, süreç boşaltmayı ve gizlenmiş süreçleri bellekte yakalar, Linux dökümlerinde Volatility ile derinleşir ve YARA kurallarıyla belleği tararsın.
Seviye 401 · 14 ders · 12 pratik lab
Dersler
Enjeksiyon ve boşaltma
- Kod enjeksiyonu türleri: savunmacının bilmesi gerekenler
- VAD ağacı ve bellek koruma bayrakları
- Süreç boşaltmayı tespit: diskteki ve bellekteki imaj farkı
- Yansıtmalı yükleme ve diskte olmayan DLL’ler: ldrmodules
- Kısa görev: enjekte edilmiş bölgeyi bul ve kaynağını kanıtla
Gizlenme ve kimlik bilgileri
- Havuz taraması ile gizlenmiş nesneleri bulmak
- Süreç belirteçleri ve ayrıcalıklar: windows.privileges
- Bellekte kimlik bilgisi izleri ve LSASS erişimi tespiti
- Kısa görev: LSASS’a erişen süreci belirle
Linux bellek ve YARA
- Linux dökümlerinde gizli süreçler ve çekirdek modülleri
- yarascan ile belleği kurallarla taramak
- Temiz bir referans dökümle karşılaştırma
- Çok sayıda dökümü betikle işlemek
- Bitirme görevi: dosyasız bir saldırıyı yalnızca bellekten kanıtla
Pratik lablar
- VAD ağacında koruma bayraklarını oku: Bir sürecin bellek bölgelerini listele ve yazılabilir ve yürütülebilir olanları işaretle.
- Enjekte edilmiş bölgeyi bul: Hazır dökümde dosya karşılığı olmayan yürütülebilir bölgeyi bul ve içeriğinin başlığını göster.
- Enjeksiyonun kaynağını kanıtla: Enjekte edilmiş bölgeyi tanıtıcılar ve süreç ilişkileri üzerinden kaynak sürece bağla.
- Yüklü modül listelerini karşılaştır: ldrmodules ile üç listeden birinde eksik görünen kitaplığı bul.
- Diskteki ve bellekteki imaj farkı: Bir sürecin bellekteki imajını dışa aktar ve diskteki dosyanın özetiyle karşılaştır.
- Boşaltılmış süreci tespit et: Üst süreç, komut satırı ve imaj farkı kanıtlarını birleştirerek boşaltılmış süreci gerekçesiyle belirle.
- Süreç ayrıcalıklarını listele: windows.privileges ile hata ayıklama ayrıcalığı etkin süreçleri listele.
- LSASS'a erişen süreci belirle: Tanıtıcı kayıtlarından kimlik doğrulama sürecine erişim açan süreci bul ve tespit ölçütünü yaz.
- Havuz taramasıyla gizlenmiş nesneleri bul: Liste yürüyen ve havuz tarayan eklentilerin çıktısını karşılaştır, yalnızca taramada görünen nesneleri raporla.
- Belleği YARA kurallarıyla tara: Hazır kural setiyle dökümü tara ve eşleşen süreçleri listele.
- Temiz referans dökümle karşılaştır: Şüpheli dökümü temiz referansla karşılaştır ve fazladan görünen süreç ile modülleri çıkar.
- Dosyasız olayı yalnızca bellekten kanıtla: Yakamoz Telekom'un hazır dökümünde diske iz bırakmayan etkinliği süreç, bölge ve bağlantı kanıtıyla ortaya koy; on dökümü betikle tara.
Kurs hakkında
Kod enjeksiyonunu, süreç boşaltmayı ve gizlenmiş süreçleri bellekte yakalar, Linux dökümlerinde Volatility ile derinleşir ve YARA kurallarıyla belleği tararsın.
Ne öğreneceksin
- Enjeksiyon ve boşaltma
- Gizlenme ve kimlik bilgileri
- Linux bellek ve YARA
Ön koşullar
Aynı yolun 301 düzeyine kadar olan konularını uygulamış olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde geçer. Kurulum gerekmez; lab her derste temiz başlar.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 401 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.