内存取证：检测Metasploit Meterpreter痕迹的完整指南

1. Meterpreter简介

Meterpreter是Metasploit框架中的一种高级、动态可扩展的有效载荷，具有以下特点：

• 完全驻留在内存中
• 不会向受害者硬盘写入任何内容
• 可注入到现有进程中
• 支持多种功能扩展

2. 取证准备工作

2.1 工具准备

• Volatility框架：主要内存取证工具
• 杀毒软件：用于检测提取的恶意代码
• YARA规则：用于模式匹配检测

2.2 系统信息收集

首先确定内存镜像的操作系统版本：

volatility -f memory.dmp imageinfo

示例输出会显示建议的profile，如：

Suggested Profile(s) : Win7SP1x86

3. 检测流程与方法

3.1 进程分析

使用pslist插件查看进程列表：

volatility -f memory.dmp --profile=Win7SP1x86 pslist

可疑迹象：

• 短生命周期进程（如示例中PID 3000仅运行42秒）
• 异常进程名（如伪装成防病毒更新）

3.2 网络连接检查

使用netscan插件：

volatility -f memory.dmp --profile=Win7SP1x86 netscan

关键指标：

• 连接到Metasploit默认端口（4444）
• 与未知IP的异常连接

3.3 进程注入检测

使用malfind插件检测进程注入：

volatility -f memory.dmp --profile=Win7SP1x86 malfind -p 3312

典型表现：

• 注入到常见系统进程（如svchost.exe）
• 内存区域显示为可执行、可写、可读

3.4 恶意代码提取

转储可疑进程：

volatility -f memory.dmp --profile=Win7SP1x86 procdump -p 3312 -D dump/

然后用杀毒软件检测提取的文件。

3.5 YARA规则扫描

创建简易规则（示例）：

rule meterpreter {
    strings:
        $mz = "MZ"
        $meterp = "meterpreter" nocase
    condition:
        $mz at 0 and $meterp
}

使用yarascan插件：

volatility -f memory.dmp --profile=Win7SP1x86 yarascan -y rule.yar

4. 攻击溯源

4.1 浏览器历史检查

使用iehistory插件：

volatility -f memory.dmp --profile=Win7SP1x86 iehistory

查找：

• 可疑下载URL（如伪装成防病毒更新）
• 短网址服务链接

4.2 内存字符串搜索

转储浏览器进程内存并搜索关键词：

volatility -f memory.dmp --profile=Win7SP1x86 memdump -p 2568 -D dump/
strings dump/iexplore.exe.* | grep "antivirus"

4.3 执行证据收集

Shimcache分析

volatility -f memory.dmp --profile=Win7SP1x86 shimcache

查看：

• 文件修改时间
• 执行标志
• 完整路径

UserAssist检查

volatility -f memory.dmp --profile=Win7SP1x86 userassist

记录程序执行次数的注册表项。

预取文件分析（如启用）

volatility -f memory.dmp --profile=Win7SP1x86 prefetchparser

4.4 持久性检查

使用autoruns插件：

volatility -f memory.dmp --profile=Win7SP1x86 autoruns

检测：

• 注册表自启动项
• 计划任务
• 服务注入

5. 综合取证结论

通过以上步骤可以确认：

1. 攻击向量：通过社会工程学诱导下载恶意程序
2. 攻击方式：Meterpreter注入到svchost.exe
3. 通信特征：连接到Metasploit默认端口
4. 持久性机制：通过自启动项维持访问

6. 防御建议

1. 监控异常网络连接（特别是4444端口）
2. 检查系统进程的异常内存属性
3. 启用预取功能以便取证
4. 对下载的可执行文件进行严格审查
5. 定期检查自启动项和计划任务

附录：常用Volatility命令速查