sqlite에서 추출

Question

나는 허니팟에서 생성 된 sqlite 데이터베이스를 가지고있다. 데이터베이스에 악성 코드 파일이 있습니다. 어떻게하면 sqlite 데이터베이스에서 이러한 파일을 추출 할 수 있습니다. 누군가가

Answer 1

가 sqlite3 명령은 쉽게 sqlite3를 데이터베이스를 심문 할 수 있습니다 도움이 될 수 있습니다와 .dump 명령은 주어진 테이블을 덤프 할 수 있도록하고, .output 명령은 덤프하기 전에 출력을위한 파일 이름을 선택하게됩니다하십시오.

허니팟의 데이터 인 경우 내용을 검사하는 데 사용하는 도구에주의해야합니다. 악성 콘텐츠가 시스템에서 권한을 얻을 수있는 결함이 터미널에서 발견되었습니다. 단순히 'cat'을 사용하여 터미널에서 파일을 검사하면 악성 프로그램에 완전한 권한 집합을 부여 할 수 있습니다.

최소 단계에서 시스템의 다른 데이터에 액세스 권한이있는 권한이없는 사용자 계정을 사용하십시오. AppArmor, SMACK, TOMOYO, SELinux, LIDS와 같은 도구를 사용하여 툴을 시스템 리소스의 작은 하위 집합으로 제한하는 것도 좋은 생각입니다. 가상화도 작동 할 수 있지만 그러한 도구들로부터도 많은 '탈주'가있었습니다.

Answer 2

당신이 전체 데이터베이스 덤프 수 있습니다

echo .dump | sqlite3 database.sqlite > database.dump 

를하거나 함께 구조를 볼 : 파일을 얻으려면

echo .schema | sqlite3 database.sqlite 

, 당신은에 BLOB를 추출하는 작은 스크립트를 필요 아마거야 파일로. 도움이 필요한 경우 데이터베이스의 스키마를 게시하십시오.