Paul Troncone and Carl Albing Cybersecurity Ops with bash Attack, Defend, and Analyze from the Command Line

Глава 5. Сбор информации
81
Сбор данных о реестре Windows
Реестр Windows
.—.это.обширное.хранилище.настроек,.определяющих.поведение.
системы.и.приложений..Некоторые.значения.разделов.реестра.часто.можно.ис-
пользовать.для.выявления.наличия.вредоносных.программ.и.различных.видов.
вторжений..Таким.образом,.при.последующем.выполнении.анализа.системы.вам.
может.быть.полезна.копия.реестра.
Чтобы.с.помощью.Git.Bash.экспортировать.весь.реестр.Windows.в.файл,.выполните.
следующую.команду:
regedit //E ${HOSTNAME}_reg.bak
Обратите.внимание:.так.как.мы.вызываем.
regedit
.из.Git.Bash,.перед.параметром.
E
.
стоят.два.слеша;.при.использовании.командной.строки.Windows.вам.потребуется.
только.один.слеш..Чтобы.упростить.организацию,.укажем.
${HOSTNAME}
.как.часть.
имени.файла.вывода.
При.необходимости.команду.
reg
.также.можно.использовать.для.экспорта.разделов.
реестра.или.отдельных.подразделов..Чтобы.с.помощью.GitBash.экспортировать.
куст.
HKEY_LOCAL_MACHINE
,.введите.следующее:
reg export HKEY_LOCAL_MACHINE $(HOSTNAME)_hklm.bak
Поиск в файловой системе
Возможность.поиска.в.системе.крайне.важна:.он.нужен.как.при.организации.
файлов,.так.и.при.реагировании.на.инциденты.и.криминалистической.экспер-
тизе..Для.выполнения.различных.функций.поиска.служат.чрезвычайно.мощные.
команды.
find
.и.
grep
.
Поиск по имени файла
Поиск.по.имени.файла.—.один.из.основных.методов.поиска..Он.удобен,.если.известно.
точное.имя.файла.или.часть.имени..В.Linux.для.поиска.в.каталоге.
/home
.и.его.подка-
талогах.имен.файлов,.содержащих.слово.
password
,.выполните.следу.ющую.команду:
find /home -name '*password*'
Обратите.внимание,.что.символ.
*
.в.начале.и.в.конце.строки.поиска.обозначает.
подстановочный.знак,.который.будет.соответствовать.любым.символам.или.их.

---

82