Day 5 数位鉴识 Bulk Extractor

前情提要:市面上有几款免费开源的记忆体工具，Ex: Volatility、Bulk Extractor等等有时候在帮客户分析记忆体时，想看证据映像档的封包时，可以使用Bulk Extractor提取pcap档案是相当方便且建议大家一定要认识的鉴识工具在安装Bulk Extractor前，请大家先下载Java，以免于安装过程中跳出报错讯息喔!!!下载网址: https://downloads.digitalcorpora.org/downloads/bulk_extractor/

来简单介绍一下Bulk Extractor这套记忆体分析工具，它是一个从记忆体提取档案，进行人工档案(Artifact)分析的一套工具

它可以呈现记忆体内的 "电子信箱帐号"、"信用卡号码"、"网址"、"网域域名"、"使用者"等等资讯

简单来说，可以查看证物本机先前所浏览的网页，下载哪些东西，在数位鉴识中佔重要的一环

这边节录 Bulk Extractor详细定义，资料来源参考 bulk extractor 1.4 - USER MANUAL - March 23, 2015 (https://digitalcorpora.s3.amazonaws.com/downloads/bulk_extractor/BEUsersManual.pdf)

bulk_extractor operates on disk images, files or a directory of files and extracts useful information without parsing the file system or file system structures. The input issplit into pages and processed by one or more scanners. The results are stored in feature files that can be easily inspected, parsed, or processed with other automated tools.bulk_extractor also creates histograms of features that it finds. This is useful becausefeatures such as email addresses and internet search terms that are more common tendto be important.

以下操作会于Windows进行，请先安装bulk extractor

安装后的执行档案图片

开启Bulk Extractor Viewer

到上方工具列，选择 "Tools" ，并点选 "Run bulk_extractor..."

选择 "Scan: Image File"，于 "Image file" 栏位，选择製作好的记忆体档案(副档名为:mem)，本画面使用dmp档案作範例

"Output Feature Directory" 选择输出结果资料夹位置(可以于桌面创一个资料夹)

选择完毕后，于视窗下方按下 "Submit Run" 即可进行记忆体分析

bulk extractor跑完结果图

本画面的样本含有恶意程式片段(Ransomware)，可以从bulk extractor分析画面中看出

bulk extractor 分析结果输出资料夹中，含有分析的pcap档案

以上就是今天的记忆体鉴识工具分享，大家可多多利用此工具分析!!!