Volatility를 이용한 Memory 분석방법론 1) 운영체제정보 어떠한 운영체제에서 생성한 Memory Dump인지 분석 imageinfo – 생성한 Memory Dump의 운영체제, Service Pack과 Hardware 정보들을 나열 2) Process 분석 생성한 Memory Dump에서 실행중이거나 은폐된 Process 및 그와 관련된 정보들을 분석 pslist – 실행중인 … Continue reading
VM에 하드디스크 추가로달고 마운트하기 Volatility 으로 분석용 VM을 만들었는데.. 처음 Ubuntu를 설치할때 아무생각없이 기본으로 설정하는 바람에 HDD가 20G밖에 안된다..ㅠ Ubuntu 패키지 업데이트 하고 이거저거 깔고보니 남은 HDD가 4G OTL… 그래서 VM에 하드디스크를 추가로 20G 달고 마운트 시켰다.. 먼저 Setting에서 Add … Continue reading
ubuntu linux 에서 Volatility 설치 1. 필요 라이브러리 설치
|
1 2 |
$ sudo apt-get update $ sudo apt-get install build-essential subversion pcregrep libpcre++-dev python-dev sqlite3 libsqlite3-dev -y |
proxy 환경일 경우 apt-get를 아래와 같이 설정한다.
|
1 2 3 |
$ cat /etc/apt/apt.conf Acquire::http::proxy "http://xxx.xxx.xxx.xxx:8080/"; Acquire::https::proxy "https://xxx.xxx.xxx.xxx:8080/"; |
또는
|
1 |
sudo http_proxy='http://xxx.xxx.xxx.xxx:8080/' apt-get install package-name |
2. Volatility 설치
|
1 |
$ svn checkout http://volatility.googlecode.com/svn/trunk Volatility |
proxy 환경일 경우 svn 를 아래와 같이 설정한다.
|
1 2 3 4 5 6 |
$ cat ~/.subversion/servers ... [global] ... http-proxy-host = xxx.xxx.xxx.xxx http-proxy-port = 8080 |
3. python module 설치 proxy 환경일 경우 … Continue reading
Wireshark pcap 파일 분할 이번 핵더 패킷에서 재일 고생했던 부분은.. 시간과의 싸움이였다.. 제공된 pcap 파일의 크기는 약 250M 정도.. 하지만 이 파일을 읽어서 필터걸고 TCP follow 등 분석하는데 로딩 시간이 상당히 걸렸다.. 대회시간은 단 2시간… 따라서 빠른분석을 위해 패킷을 … Continue reading
Notice : 해당 자료가 저작권등에 의해서 문제가 있다면 바로 삭제하겠습니다. 연구목적으로 사용하지 않고 악의적인 목적으로 이용할 경우 발생할 수 있는 법적은 책임은 모두 본인에게 있습니다. 쓰레드 덤프보는 JSP (threaddump.jsp) 완전 멋지다!ㅋ
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131 132 133 134 135 136 137 138 139 140 141 142 143 144 145 146 147 148 149 150 151 152 153 154 155 156 157 158 159 160 161 162 163 164 165 166 167 168 169 170 171 172 173 174 175 176 177 178 179 180 181 182 183 184 185 186 187 188 189 190 191 192 |
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd"> <%-- This source is under a creative common license. (Attribution Non-Commercial) You can use it for non-commercial purposes only. Author: Dongyoul Kim Blog: http://greatkim91.tistory.com Twitter: greatkim91 --%> <%@ page contentType="text/html; charset=UTF-8" %> <%@ page import="java.util.List"%> <%@ page import="java.util.ArrayList"%> <%@ page import="java.util.Collections"%> <%@ page import="java.util.Comparator"%> <%@ page import="java.lang.management.ManagementFactory"%> <%@ page import="java.lang.management.MemoryMXBean"%> <%@ page import="java.lang.management.MemoryUsage"%> <%@ page import="java.text.DecimalFormat"%> <%@ page import="java.text.NumberFormat"%> <%@ page import="java.lang.management.ThreadInfo"%> <%@ page import="java.lang.management.ThreadMXBean"%> <%! private static String kbytes(long l) { NumberFormat nf = new DecimalFormat("#,###"); return nf.format(l/1000); } private static String percent(double l) { NumberFormat nf = new DecimalFormat("#.#"); return nf.format(l); } private static List<ThreadInfo> loadThreadInfo() { ThreadMXBean threadMXBean = ManagementFactory.getThreadMXBean(); ThreadInfo[] threadInfoArray = threadMXBean.getThreadInfo(threadMXBean.getAllThreadIds(), Integer.MAX_VALUE); List<ThreadInfo> threadInfos = new ArrayList<ThreadInfo>(threadInfoArray.length); for (ThreadInfo threadInfo : threadInfoArray) { threadInfos.add(threadInfo); } Collections.sort( threadInfos, new Comparator() { public int compare(Object o1, Object o2) { if (o1 == null || o2 == null) return 0; ThreadInfo t1 = (ThreadInfo) o1; ThreadInfo t2 = (ThreadInfo) o2; return t1.getThreadName().compareTo(t2.getThreadName()); } } ); return threadInfos; } %> <html> <head> <title>Thread dump</title> <meta http-equiv="Content-Type" content="text/html; charset=utf-8" /> <meta http-equiv="cache-control" content="no-cache" /> <meta http-equiv="Pragma" content="no-cache" /> <style type="text/css"> <!-- body { font: 12px sans-serif; } table { border: 0px solid #DEDEDE; } td, th { border: 1px solid #DEDEDE; padding: 1px 10px; } .right { text-align: right; } --> </style> </head> <body> <% String uri = request.getRequestURI(); String namePrefix = request.getParameter("name"); String stateParam = request.getParameter("state"); long threadId; try { threadId = Long.parseLong(request.getParameter("tid")); } catch(Exception e) { threadId = -1; } // Memory Info MemoryMXBean memoryMXBean = ManagementFactory.getMemoryMXBean(); MemoryUsage heapMemoryUsage = memoryMXBean.getHeapMemoryUsage(); MemoryUsage nonHeapMemoryUsage = memoryMXBean.getNonHeapMemoryUsage(); double heapUsedPercent = ((double)heapMemoryUsage.getUsed()/(double)heapMemoryUsage.getMax()) * 100.0D; double nonHeapUsedPercent = ((double)nonHeapMemoryUsage.getUsed()/(double)nonHeapMemoryUsage.getMax()) * 100.0D; %> <table> <tr> <th>Area</th> <th>Init (KB)</th> <th>Max (KB)</th> <th>Used (KB)</th> <th>Used(%)</th> </tr> <tr> <td>Heap</td> <td class="right"><%=kbytes(heapMemoryUsage.getInit())%></td> <td class="right"><%=kbytes(heapMemoryUsage.getMax())%></td> <td class="right"><%=kbytes(heapMemoryUsage.getUsed())%></td> <td class="right"><%=percent(heapUsedPercent)%></td> </tr> <tr> <td>Non Heap</td> <td class="right"><%=kbytes(nonHeapMemoryUsage.getInit())%></td> <td class="right"><%=kbytes(nonHeapMemoryUsage.getMax())%></td> <td class="right"><%=kbytes(nonHeapMemoryUsage.getUsed())%></td> <td class="right"><%=percent(nonHeapUsedPercent)%></td> </tr> </table> <hr/> <form method="get"> Show only what thread name starts with <input type="text" name="name" value="<%=(namePrefix != null ? namePrefix : "")%>"/> and thread state is <select name="state"> <option value="all">All</option> <% for(Thread.State threadState: Thread.State.values()) { boolean selected = threadState.toString().equals(stateParam); %> <option value="<%=threadState%>"<%=selected ? " selected=\"true\"" : ""%>><%=threadState%></option> <% } %> </select> <input type="submit" value="go!"/> </form> <% if(threadId != -1 || (namePrefix != null && namePrefix.trim().length() > 0)) { %> <a href="<%=uri%>">Show all threads</a> <% } %> <% // Thread info for(ThreadInfo threadInfo : loadThreadInfo()) { StackTraceElement[] stackTraces = threadInfo.getStackTrace(); // filter the current thread if (threadInfo.getThreadId() == Thread.currentThread().getId()) continue; // filter name if (namePrefix != null && namePrefix.trim().length() > 0) { if (!threadInfo.getThreadName().startsWith(namePrefix)) continue; } // filter state if (stateParam != null && !stateParam.equals("all")) { if (!threadInfo.getThreadState().toString().equals(stateParam)) continue; } // show only specific thread id if (threadId != -1) { if (threadInfo.getThreadId() != threadId) continue; } %> <dl> <dt> <b><%=threadInfo.getThreadName()%> (<%=threadInfo.getThreadState()%>)</b> - <a href="<%=uri%>?tid=<%=threadInfo.getThreadId()%>"><%=threadInfo.getThreadId()%></a> </dt> <dd> <pre> <% for(int i = 0; i < stackTraces.length; i++) { out.println(stackTraces[i]); } %> </pre> </dd> </dl> <% } %> </body> </html> |
간단한 메모리 정보와 현재 쓰레드들의 스택들을 보여줍니다. … Continue reading
요즘 포트 스캔 탐지 도구를 좀 알아보니, 크게 3가지가 있었다.. portsentry, scanlogd, psad 셋다 포트스캔을 탐지하는 도구인데, 각각의 특징이 있다.. portsentry와 psad는 iptables와 연동되어 포트스캔이 탐지되면 자동으로 룰을 등록해서 차단한다. 하지만 scanlogd는 syslogd와 연동되어 scan에 대한 로그를 남긴다. 내가 … Continue reading
서버를 모니터링 해야 할 일이 생겨 좋은 도구를 찾다가 발견했다. MUNIN ( http://munin-monitoring.org/ ) 설치를 해보자..
|
1 2 3 4 5 6 7 8 9 10 11 |
]# yum -y install munin munin-node Loaded plugins: fastestmirror, security Loading mirror speeds from cached hostfile * base: centos.tt.co.kr * extras: centos.tt.co.kr * updates: centos.tt.co.kr Setting up Install Process No package munin available. No package munin-node available. Nothing to do ]# |
yum으로 설치할랬더니.. 위와 같이 못찾는 단다..ㅡㅡ;; 검색을 좀 해보니.. EPEL repository를 설치해야 한단다.. EPEL 이란 Extra Packages of Enterprise Linux 를 뜻하며 … Continue reading
어제의 oozie 설치 삽질기 에 많은 분의 조언을 주셨다.. sstrato.kong 님께서 제일 먼저 3.3.0사용하시라고 조언을.. 3.0.1(https://github.com/yahoo/oozie) 버전이 최신인줄 알고 받았더니.. 알고보니 3.3.1(https://github.com/apache/oozie)이 최신..OTL 그루터의 김형준 수석님께서도 깨알같은 조언을.. oozie-site.xml 설정에서 조금 이상한게 mysql 드라이버 설정 및 서버 설정을 oozie.service.JPAService.jdbc.driver, … Continue reading
데이터 중심(data-driven)의 WorkFlow를 설정할 수 있는 Utillity 특징 – 경량 유틸리티 – 복잡한 설치 필요 없음 – 데이터 흐름 프로그래밍 모델 기반(DAG) – 쉬운 학습 곡선. – 아마존 Elastic MapReduce 지원 – MapReduce 작업뿐만 아니라 PIG Latin scripts를 실행 … Continue reading
구글 drive api 사용기 python 구글 drive api 홈페이지 : https://developers.google.com/drive/ 죄측 메뉴 Quickstart > python : https://developers.google.com/drive/quickstart-python 비디오 https://developers.google.com/drive/quickstart-python#optional_view_a_quickstart_video 1단계 : Enable the Drive API 1. Create an API project in the Google APIs Console. 2. Select the Services … Continue reading