Mövzunu Açan
#0
Volatility, bellek forensik analizinde yaygın olarak kullanılan güçlü bir araçtır. Bu araç, bir sistemin RAM imajını analiz ederek çeşitli bilgi türlerini ortaya çıkarmaya yarar. İki önemli komutu olan pslist ve psscan, süreçlerin analizi için kullanılır, ancak farklı amaçları ve işleyiş biçimleri vardır.
Pslist Komutu: Pslist, bellek imajında bulunan aktif süreçlerin listesini çıkartır. Bu komut, işletim sisteminin süreç tablosunu kullanarak çalışan süreçlerin ayrıntılı bir listesini sağlar. Pslist, süreçlerin PID'leri, isimleri, ebeveyn süreçleri ve durumları gibi bilgileri gösterir. Ancak, pslist sadece mevcut süreçleri gösterir; daha önceki veya silinmiş süreçleri tespit edemez. Bu, bazı saldırganların sistemde gizlenmek için kullandıkları teknikler nedeniyle önemli bir sınırlamadır. Pslist'in çıktısı, aktif bir sistemin anlık görüntüsünü verir.
Psscan Komutu: Psscan ise, bellek imajında süreçlerin daha kapsamlı bir analizini yapar. Bu komut, işletim sisteminin süreç tablosunu atlayarak, bellek alanında süreçlerin kalıntılarını tarar. Böylece, daha önce silinmiş veya gizlenmiş süreçleri tespit edebilir. Psscan, süreçlerin bellek içindeki izlerini bulur ve bunları kullanıcıya sunar. Bu, belirli bir zamanda sistemde bulunan tüm süreçlerin yanı sıra, geçmişte var olan ancak artık aktif olmayan süreçlerin de ortaya çıkarılmasını sağlar.
Farklılıklar:
Sonuç olarak, pslist ve psscan, bellek analizi için farklı yaklaşımlar sunar ve her ikisi de kendi bağlamlarında önemlidir. Hangi komutun kullanılacağı, analiz edilen durumun gereksinimlerine bağlıdır.
Pslist Komutu: Pslist, bellek imajında bulunan aktif süreçlerin listesini çıkartır. Bu komut, işletim sisteminin süreç tablosunu kullanarak çalışan süreçlerin ayrıntılı bir listesini sağlar. Pslist, süreçlerin PID'leri, isimleri, ebeveyn süreçleri ve durumları gibi bilgileri gösterir. Ancak, pslist sadece mevcut süreçleri gösterir; daha önceki veya silinmiş süreçleri tespit edemez. Bu, bazı saldırganların sistemde gizlenmek için kullandıkları teknikler nedeniyle önemli bir sınırlamadır. Pslist'in çıktısı, aktif bir sistemin anlık görüntüsünü verir.
Psscan Komutu: Psscan ise, bellek imajında süreçlerin daha kapsamlı bir analizini yapar. Bu komut, işletim sisteminin süreç tablosunu atlayarak, bellek alanında süreçlerin kalıntılarını tarar. Böylece, daha önce silinmiş veya gizlenmiş süreçleri tespit edebilir. Psscan, süreçlerin bellek içindeki izlerini bulur ve bunları kullanıcıya sunar. Bu, belirli bir zamanda sistemde bulunan tüm süreçlerin yanı sıra, geçmişte var olan ancak artık aktif olmayan süreçlerin de ortaya çıkarılmasını sağlar.
Farklılıklar:
- Pslist, aktif süreçleri gösterirken; psscan, silinmiş veya gizlenmiş süreçleri de tespit edebilir.
- Pslist, süreç tablosuna dayanırken; psscan, bellek alanını tarar.
- Pslist, daha hızlı sonuçlar verir; ancak psscan daha derinlemesine bir analiz sunar.
Sonuç olarak, pslist ve psscan, bellek analizi için farklı yaklaşımlar sunar ve her ikisi de kendi bağlamlarında önemlidir. Hangi komutun kullanılacağı, analiz edilen durumun gereksinimlerine bağlıdır.