memo – ページ 5

mdd オプションメモ

Windowsのメモリダンプを取得するツール[mdd]のオプションメモです。
[win32dd]よりもダンプする速度が速いと思います。
オプションも簡潔ですので個人的にはこちらが手っ取り早くお勧めです。
メモリダンプ取得の進捗がタイトルバーに表示されるところも好感度が高いです。

公式サイトはこちら。

Usage:mdd <-o OUTPUTFILE> [-qvcw]

オプション	効果
-o OUTPUTFILE	出力するメモリダンプファイル名を指定。
-q	エラー以外の出力を表示しない。
-v	冗長モード。マッピングの失敗したオフセットを表示。
-w	GPLのための再分配状態。
-q	GPLのための保証内容。

メモリダンプ取得例
Continue reading

Category: forensic, memo | コメントを受け付けていません

8月 20

snort の threshold.conf　[threshold]　メモ

[snort]を運用していると、度々、報告されるアラートの中には出力回数を制限したいと思うものがでてくると思います。
残念ながら[snort]のシグネチャのみではこの出力回数制限を行うことはできません。
そこで[snort]では、シグネチャとは別に[threshold.conf]の[threshold]を利用することで可能となります。
Continue reading

Category: memo, packet | コメントを受け付けていません

8月 18

ncat 実行メモ

ncatのオプションメモを書くときに色々試してみました。
その中で主だったものの実行方法をメモしておきます。
Continue reading

Category: memo, tool | コメントを受け付けていません

8月 17

ncat オプションメモ

[nmap]に付属する汎用TCP/UDP接続コマンドラインソフト[ncat]のオプションメモです。
Continue reading

Category: memo, tool | コメントを受け付けていません

8月 16

win32dd v1.2.2.20090608 オプションメモ

Windowsのメモリダンプを取得するツール[win32dd v1.2.2.20090608]のオプションメモです。

公式サイトはこちら。

Usage:win32dd.exe [option] [output path]

キャプチャ停止条件関連
オプション	効果
-r	生のメモリダンプ、スナップショットを作成。ダンプファイル名を指定。
-l	マッピングレベルを指定（[-r]と共に使用）
	0	\\Device\\PhysicalMemory deviceを開く。
	1	Kernel API MmMapIoSpace()を使う。
-d	フルメモリダンプを取得。ダンプファイル名を指定。
-t	MSTFダンプタイプを指定（[-d]と共に使用）
	0	オリジナルのMmPhysicalMemoryBlock。
	1	MmPhysicalMemoryBlock。（PFN0を含む）
-h	ヘルプを表示。

メモリダンプ取得例
Continue reading

Category: forensic, memo | コメントを受け付けていません

8月 12

oinkmasterでのEmerging Threatsルール追加メモ

[Snort]のルールは、公式サイト以外のサイトでも配布されています。
そのサイトの一つに[Emerging Threats]（以下、[ET]）というサイトがあります。
このメモは[ET]のルールも[oinkmaster]を使って自動アップデートするためのメモです。
Continue reading

Category: memo | コメントを受け付けていません

8月 9