--- name: volatility-memory-analysis description: "Windows/Linux memory dump, hiberfil.sys analizi — volatility3 ile process, credential, env var çıkarma, DPAPI master key kurtarma ve pypykatz entegrasyonu." tags: [ctf, forensics, volatility, memory-dump, windows, dpapi, hibernate, credential, pypykatz, lsadump, envars, filescan] triggers: - ".dmp dosyası" - "memory dump" - "hiberfil.sys" - "volatility" - "crash dump" - "windows memory forensics" - "process tree" - "DPAPI" - "lsadump" - "pypykatz" - "RAM dump" - "memdump" - "process injection" - "windows credentials" - "lsass dump" difficulty: hard category: forensics solved_challenges: - "HTB Cyber Apocalypse 2024 - Oblique Final (hiberfil.sys → volatility3 hibernation plugins)" - "HTB University CTF 2024 - Signaling Victorious (DPAPI + Signal config decrypt)" - "CyberSpaceCTF 2024 - Memory (WINWORD + AES encrypted PNG, envars)" adapted_for: fetih --- # Volatility3 ile Memory Forensics ## Ne Zaman Kullan Aşağıdaki işaretlerden herhangi birini görürsen bu skill'i tetikle: - `.dmp`, `.raw`, `.mem`, `.vmem`, `.lime` uzantılı dosya var - `hiberfil.sys` verilmiş (Windows hibernation = compressed RAM dump) - Challenge'da "memory forensics", "RAM analysis", "process dump" geçiyor - Credential/parola çıkarma, DPAPI key recovery, lsass içeriği istenmiş - Bir sürecin çalıştırdığı komut ya da ortam değişkenleri (env var) aranıyor --- ## Kurulum ```bash # volatility3 — pip ile pip install volatility3 # Geliştirme sürümü (en güncel plugin'ler için) git clone https://github.com/volatilityfoundation/volatility3.git cd volatility3 && pip install -e . # pypykatz — DPAPI / LSASS parse pip install pypykatz # Yardımcı araçlar sudo apt install -y python3-capstone yara-python ``` --- ## Temel Komut Şablonları ### Sistem Bilgisi ```bash # İlk komut — her zaman buradan başla vol -f dump.dmp windows.info # Çıktı örneği: # Variable Value # Kernel Base 0xf80002a52000 # DTB 0x187000 # Symbols file:///...ntkrnlmp.pdb/... # Is64Bit True # IsPAE False # primary 0 WindowsIntel32e # memory_layer 1 FileLayer # KdVersionBlock 0xf80002c430f8 # Major/Minor 15.7601 (= Windows 7 SP1) ``` ### Process Listesi ```bash # Standart süreç listesi vol -f dump.dmp windows.pslist # Ağaç görünümü (parent-child ilişkisi) vol -f dump.dmp windows.pstree # Gizli/unlinked process tespiti (rootkit analizi) vol -f dump.dmp windows.psscan # Her üçünü karşılaştır: pslist'te olmayıp psscan'da olanlar şüpheli! ``` ### Komut Satırı ve Argümanlar ```bash # Tüm süreçlerin cmdline'ı vol -f dump.dmp windows.cmdline.CmdLine # Belirli süreç adı filtrele vol -f dump.dmp windows.cmdline.CmdLine | grep -i "powershell\|cmd\|python" # Örnek çıktı: # PID Process Args # 1234 cmd.exe C:\Windows\system32\cmd.exe /c "python decrypt.py --key=S3cr3t" ``` ### Ortam Değişkenleri (Env Vars) ```bash # Tüm süreçlerin env var'ları vol -f dump.dmp windows.envars # Belirli PID vol -f dump.dmp windows.envars --pid 1234 # Şüpheli değişken adı ara (ctf'lerde sıkça AES key, IV, flag parçası olur) vol -f dump.dmp windows.envars | grep -i "key\|pass\|secret\|flag\|enc\|aes" ``` ### Dosya Tarama ve Çıkarma ```bash # Memory'deki tüm dosya nesnelerini listele vol -f dump.dmp windows.filescan # Belirli uzantı filtrele vol -f dump.dmp windows.filescan | grep -i "\.txt\|\.pdf\|\.png\|\.zip\|\.py" # PID'e göre süreç memory dump al vol -f dump.dmp windows.dumpfiles --pid 1234 # Belirli fiziksel adres ile dosya dump (filescan'dan offset al) vol -f dump.dmp windows.dumpfiles --physaddr 0xXXXXXXXX # Çıktı varsayılan olarak ./volatility_dump/ altına kaydedilir ``` ### Credential Analizi ```bash # LSA secrets (SAM, cached credentials) vol -f dump.dmp windows.lsadump # pypykatz entegrasyonu — LSASS'tan NTLM hash ve cleartext parola vol -f dump.dmp windows.pypykatz # Örnek pypykatz çıktısı: # username: Administrator # NT: aad3b435b51404eeaad3b435b51404ee:8846f7eaee8fb117ad06bdd830b7586c # lm: "" # sha1: d0f0132b308a0c4e5d1029cc06f48692ddcf72ed ``` ### Registry Analizi ```bash # Hive listesi vol -f dump.dmp windows.registry.hivelist # Belirli anahtar oku vol -f dump.dmp windows.registry.printkey --key "SOFTWARE\Microsoft\Windows NT\CurrentVersion" # Kullanıcı ayarları (NTUSER.DAT hive'ı için) vol -f dump.dmp windows.registry.printkey --key "Control Panel\International" ``` ### Network Bağlantıları ```bash # Aktif + kapalı TCP bağlantıları vol -f dump.dmp windows.netstat # Çıktı: PID, Proses adı, yerel/uzak IP:port, durum, timestamp ``` --- ## Gerçek Örnek: CyberSpaceCTF 2024 — Memory ### Senaryo `memory.dmp` verilmiş. WINWORD.EXE çalışıyor, şifreli PNG dosyası açık. AES key/IV ortam değişkeninde gizlenmiş. ### Çözüm Adımları ```bash # 1. Süreç listesini al, WINWORD'u bul vol -f memory.dmp windows.pslist | grep -i "WINWORD" # PID: 2488 # 2. WINWORD'un env var'larını çıkar vol -f memory.dmp windows.envars --pid 2488 # Çıktıdan şüpheli satırlar: # ENCD = 5f3a8b... (encrypted data) # ENCK = 3d9a1c... (AES key hex) # ENCV = a1b2c3... (IV hex) # 3. Dosya tara — şifreli PNG bul vol -f memory.dmp windows.filescan | grep -i "\.png" # 0xXXXXX secret_document.png # 4. Dosyayı çıkar vol -f memory.dmp windows.dumpfiles --physaddr 0xXXXXX # 5. Python ile AES-CBC decrypt python3 << 'EOF' from Crypto.Cipher import AES import binascii # Env var'lardan elde edilen değerler key = binascii.unhexlify("3d9a1c...") # ENCK iv = binascii.unhexlify("a1b2c3...") # ENCV with open("file.0xXXXXX.png", "rb") as f: ciphertext = f.read() cipher = AES.new(key, AES.MODE_CBC, iv) plaintext = cipher.decrypt(ciphertext) # PKCS7 padding kaldır pad_len = plaintext[-1] plaintext = plaintext[:-pad_len] with open("decrypted.png", "wb") as f: f.write(plaintext) print("Decrypted! Dosya: decrypted.png") EOF ``` --- ## Gerçek Örnek: HTB University CTF 2024 — Signaling Victorious ### Senaryo Signal Desktop uygulamasının config database'i DPAPI ile şifreli. Memory dump'tan DPAPI master key kurtarılacak, Signal DB decrypt edilecek. ### Çözüm Adımları ```bash # 1. LSA dump — DPAPI master key adayları vol -f signaling.dmp windows.lsadump # 2. pypykatz ile LSASS parse — NTLM hash al vol -f signaling.dmp windows.pypykatz # username: john_doe NT: 8846f7eaee8fb117ad06bdd830b7586c # 3. Signal config dosyasını filescan ile bul vol -f signaling.dmp windows.filescan | grep -i "signal\|config" # AppData\Roaming\Signal\config.json # AppData\Roaming\Signal\sql\db.sqlite # 4. Dosyaları dump et vol -f signaling.dmp windows.dumpfiles --physaddr 0xXXXX # 5. pypykatz ile DPAPI master key çöz pypykatz dpapi prekey password \ --sid "S-1-5-21-XXXX" \ --password "kurtarılan_parola" \ masterkey_dosyası.mk # 6. Signal Electron safeStorage key'i decrypt et (AES-GCM) python3 << 'EOF' import json, base64 from Crypto.Cipher import AES # config.json içindeki encryptedKey with open("config.json") as f: config = json.load(f) enc_key = base64.b64decode(config["encryptedKey"]) # İlk 3 byte "v10" prefix — Electron safeStorage formatı prefix = enc_key[:3] # b'v10' nonce = enc_key[3:15] # 12 byte nonce tag = enc_key[-16:] # son 16 byte GCM tag ct = enc_key[15:-16] # DPAPI'dan kurtarılan AES-256 anahtarı dpapi_key = bytes.fromhex("DPAPI_cikti_hex") cipher = AES.new(dpapi_key, AES.MODE_GCM, nonce=nonce) db_key = cipher.decrypt_and_verify(ct, tag) print(f"Signal DB Key: {db_key.hex()}") # sqlcipher ile: PRAGMA key = "x''"; EOF ``` --- ## hiberfil.sys Analizi (HTB Oblique Final) ### Senaryo `hiberfil.sys` verilmiş — Windows hibernation dosyası. Sıkıştırılmış RAM dump'ı içerir. ```bash # Yöntem 1: volatility3 doğrudan hiberfil.sys destekler vol -f hiberfil.sys windows.info # Yöntem 2: Önce raw dump'a çevir (bazı versiyonlarda gerekli) pip install libhibr2 # veya python3 -c " import libhibr2 libhibr2.convert('hiberfil.sys', 'memory.raw') " # Yöntem 3: volatility2 hibernation plugin (eski CTF dump'ları için) volatility --plugins=/path/to/community -f hiberfil.sys \ --profile=Win10x64_19041 hibinfo # hiberfil.sys boyutu büyükse (8-32 GB) — sadece ilgili plugin'i çalıştır # Tüm pslist yerine hedefli: vol -f hiberfil.sys windows.cmdline.CmdLine 2>/dev/null | head -100 ``` --- ## Tuzaklar - **Windows profil otomatik tespiti**: volatility3 genellikle profili otomatik bulur. `windows.info` ile doğrula. Yanlış profil — tüm plugin'ler anlamsız sonuç verir. - **pypykatz boş çıktı**: LSASS süreci dump alınmamışsa pypykatz çalışmaz. `windows.dumpfiles --pid ` ile önce LSASS'ı dosyaya çıkar, sonra `pypykatz lsa minidump lsass.dmp` çalıştır. - **Env var encoding**: Bazı CTF'lerde env var değerleri base64 ya da hex encode edilmiş olur. Ham çıktıyı decode etmeyi dene. - **hiberfil.sys boyutu**: Hibernation dosyası makine RAM'inin ~%75-85'i kadar. 16 GB RAM → ~12 GB hiberfil.sys. Yavaş olur, sabırlı ol. - **filescan vs dumpfiles offset**: `filescan`'deki offset değeri `dumpfiles --physaddr` parametresine olduğu gibi girer. `0x` prefix'ini eklemeyi unutma. - **volatility3 vs volatility2 farkı**: volatility3'te `windows.pslist`, volatility2'de `pslist` (prefix yok). Plugin adları farklı — hangisini kullandığını kontrol et. - **lsadump şifreli çıkabilir**: LSA secrets bazı Windows sürümlerinde DPAPI ile ekstra şifreli. Ham hex değerini DPAPI pipeline'a besle. - **PID 4 = System**: lsass.exe genellikle PID 600-700 aralığında. `windows.pslist | grep lsass` ile bul.