Sjoerd schreef:Eerdere citaten tonen
Marvinguich schreef:Nee hoor, was geen DDOS. Te veel mensen die het speelden.
Het was wel een DDoS
Indd:
"Ddosers hebben woensdag en donderdag een speciale site van de politie om digitale rechercheurs te werven platgelegd. Sinds tien uur donderdagochtend is de wervingssite niet meer te bereiken. Wanneer de site weer bereikbaar is, is niet duidelijk.
Woordvoerder Ed Kraszewski van de politie bevestigt tegenover Tweakers dat de site Cybercrimechallenge.nl, waarop de wervingsactie draait, woensdagavond en donderdag het doelwit van ddosers is geworden. "Dat vinden we natuurlijk jammer. We zijn op dit moment de precieze toedracht aan het onderzoeken en willen de challenge zo snel mogelijk weer online hebben", aldus Kraszewski."
Sjoerd schreef:Eerdere citaten tonen
Lennard schreef:Eerdere citaten tonen
Marvinguich schreef:Eerdere citaten tonen
Lennard schreef:Eerdere citaten tonen
Izzyy schreef:Jellerth en ik proberen al 2 uur om een raw bestand te openen
ja is iemand hier het al gelukt?
op tweakers mag je niet om hints vragen
Je moet volgens mij met volatility die raw openen, maar je hebt een profiel nodig van het besturingssysteem waarop de raw is gemaakt.
De useragent daarvan is "Mozilla/5.0 (X11; Ubuntu; Linux i686; rv:19.0) Gecko/20100101 Firefox/19.0" (zie internet.pcap) maar daar kan ik geen profiel bij vinden
WireShark.
Nee, dat is een vraag eerder. Vraag 9 bedoel ik.
Ben er inmiddels achter het bestand wat je moet hebben waarschijnlijk /home/monotropa/crypto/ is, die kwam ik tegen in de memorydump.
Heb jij iets uit de dump kunnen lezen dan?
ja, je kan hem sowieso openen met wxHexEditor (v0.21 Beta for Windows heb ik), als je dan control + F op /home/monotropa doet vind je die directory.
Met volatilitux kan ik een dump van de proceslijst krijgen (dus niet volatility!):
E:Python27volatilitux>volatilitux.py -f ../memory.raw pslist
Name PID PPID
swapper 0 0
init 1 0
kthreadd 2 0
migration/0 3 2
ksoftirqd/0 4 2
watchdog/0 5 2
events/0 6 2
cpuset 7 2
khelper 8 2
netns 9 2
async/mgr 10 2
pm 11 2
sync_supers 12 2
bdi-default 13 2
kintegrityd/0 14 2
kblockd/0 15 2
kacpid 16 2
kacpi_notify 17 2
kacpi_hotplug 18 2
ata/0 19 2
ata_aux 20 2
ksuspend_usbd 21 2
khubd 22 2
kseriod 23 2
kmmcd 24 2
khungtaskd 27 2
kswapd0 28 2
ksmd 29 2
aio/0 30 2
ecryptfs-kthrea 31 2
crypto/0 32 2
scsi_eh_0 36 2
scsi_eh_1 38 2
kstriped 40 2
kmpathd/0 41 2
kmpath_handlerd 42 2
ksnapd 43 2
kondemand/0 44 2
kconservative/0 45 2
scsi_eh_2 159 2
usbhid_resumer 165 2
kdmflush 178 2
kdmflush 182 2
jbd2/dm-0-8 196 2
ext4-dio-unwrit 197 2
upstart-udev-br 240 1
udevd 243 1
udevd 319 243
udevd 321 243
kpsmoused 385 2
rsyslogd 497 1
getty 557 1
getty 566 1
getty 573 1
getty 575 1
getty 579 1
cron 583 1
atd 584 1
getty 636 1
flush-1:0 637 2
flush-1:1 638 2
flush-1:2 639 2
flush-1:3 640 2
flush-1:4 641 2
flush-1:5 642 2
flush-1:6 643 2
flush-1:7 644 2
flush-1:8 645 2
flush-1:9 646 2
flush-1:10 647 2
flush-1:11 648 2
flush-1:12 649 2
flush-1:13 650 2
flush-1:14 651 2
flush-1:15 652 2
flush-8:0 653 2
flush-251:0 654 2
dhclient3 665 1
sshd 681 1
sshd 780 681
sshd 849 780
bash 850 849
crypto 866 850
en je kan het gebruikte geheugen door die processen exporteren naar een bestand enzo, maar ik word er niet veel wijzer uit.
Ik probeer hem in te lezen met Volatility, maar daarvoor heb ik een profiel van het OS (Debian?) nodig en die vind ik nergens.
