Volatility 3 ile Windows bellek analizi
Windows bellek dökümlerinde süreçleri, komut satırlarını, yüklü DLL’leri, tanıtıcıları, ağ bağlantılarını ve bellekteki kayıt defterini Volatility 3 ile inceler, şüpheli süreci kanıtlarıyla ayırırsın.
Seviye 301 · 18 ders · 15 pratik lab
Dersler
Başlangıç
- Windows’ta bellek almak: winpmem, DumpIt ve sanal makine anlık görüntüsü
- windows.info ve sembol tabloları
- EPROCESS ve süreç listesi: Windows süreçleri nasıl izler
- Kısa görev: dökümün işletim sistemi sürümünü ve alınma saatini belirle
Süreçler
- windows.pslist ve windows.pstree: normal süreç ağacı nasıl görünür
- windows.psscan ile listeden çıkarılmış süreçleri bulmak
- windows.cmdline ve windows.envars ile çalıştırma bağlamı
- windows.dlllist ve windows.handles ile şüpheli yüklemeler ve açık nesneler
- Kısa görev: yanlış üst süreçten doğmuş svchost’u bul
Ağ, kayıt defteri ve kod
- windows.netscan ile bağlantıları süreçlere bağlamak
- windows.registry.hivelist ve printkey ile bellekteki kayıt defteri
- windows.malfind ile yürütülebilir şüpheli bellek bölgeleri
- Şüpheli dosya ve süreç belleğini dışa aktarmak
- windows.svcscan ile servisleri incelemek
- Kısa görev: dışa aktardığın bölgeyi YARA ile tara
Rapor
- Bellek bulgusunu disk ve olay günlüğüyle doğrulamak
- Bellek bulgularını zaman ve kanıtla raporlamak
- Bitirme görevi: bir iş istasyonu dökümünden saldırının tüm parçalarını çıkar
Pratik lablar
- Dökümün sürümünü ve alınma saatini belirle: windows.info ile işletim sistemi sürümünü ve dökümün alındığı saati çıkar.
- Sembol tablosu sorununu çöz: Sembol bulunamadığı için açılmayan dökümde doğru tabloyu sağla ve çözümlendiğini göster.
- Edinim yöntemlerini karşılaştır: Bellek aracı ve sanal makine anlık görüntüsüyle alınmış hazır dökümleri tutarlılık ve bozulma açısından karşılaştır.
- Normal süreç ağacını tanı: pslist ve pstree ile temiz bir dökümün süreç ağacını çıkar ve beklenen üst süreçleri yaz.
- Yanlış üst süreçten doğmuş svchost: Beklenmeyen üst süreçten doğan svchost'u bul ve yolunu doğrula.
- Listeden çıkarılmış süreci bul: pslist ve psscan sonuçlarını karşılaştırarak yalnızca taramada görünen süreci belirle.
- Komut satırlarını oku: windows.cmdline ile şüpheli süreçlerin komut satırlarını listele.
- Ortam değişkenleri ve yüklenen DLL'ler: envars ve dlllist ile bir sürecin çalışma dizinini ve alışılmadık yoldan yüklenen kitaplığı bul.
- Açık tanıtıcılardan sürecin ne yaptığını çıkar: windows.handles ile sürecin açık dosya, anahtar ve mutex nesnelerinden amacını gerekçelendir.
- Bağlantıları süreçlere bağla: windows.netscan ile dış bağlantıları sahip süreçleriyle listele.
- Bellekteki kayıt defterini oku: hivelist ve printkey ile bellekteki Run anahtarını oku ve kalıcılık girdisini bul.
- Şüpheli bölgeyi dışa aktar ve YARA ile tara: malfind'in gösterdiği bölgeyi dışa aktar, YARA ile tara ve servis listesindeki karşılığını svcscan ile ara.
- Bellek bulgusunu kanıtla yaz: Tek bir bulguyu eklenti adı, komut ve çıktı satırıyla belgeleyerek yaz.
- Bulguyu disk ve olay günlüğüyle doğrula: Bellekte bulduğun sürecin izini Prefetch ve süreç oluşturma olayında göster.
- İş istasyonu dökümünden saldırının parçaları: Lavinya Klinikleri'nin hazır iş istasyonu dökümünden yürütme, kalıcılık ve bağlantı bulgularını zaman sırasıyla raporla.
Kurs hakkında
Windows bellek dökümlerinde süreçleri, komut satırlarını, yüklü DLL’leri, tanıtıcıları, ağ bağlantılarını ve bellekteki kayıt defterini Volatility 3 ile inceler, şüpheli süreci kanıtlarıyla ayırırsın.
Ne öğreneceksin
- Başlangıç
- Süreçler
- Ağ, kayıt defteri ve kod
- Rapor
Ön koşullar
Aynı yolun 101 ve 201 düzeyindeki konularına hâkim olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde geçer. Kurulum gerekmez; lab her derste temiz başlar.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 301 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.