Investigando con MIR-ROR

MIR-ROR (Motile Incident Response – Respond Objectively, Remediate) es un script en línea de comandos (.bat) para Windows que llama a herramientas específicas de Sysinternals y otros para proveer una captura de datos para investigaciones.

La versión 1.2 ha sido publicada recientemente (9 de Octubre) y requiere los siguientes pasos para su uso:

1) Descargar la suite de Sysinternals aquí: http://technet.microsoft.com/en-us/sysinternals/bb842062.aspx

2) Desempaquetar la suite

3) Crear el directorio c:\tools\MIR-ROR

4) Copiar las siguientes herramientas a c:\tools\MIR-ROR

autorunsc.exe

handle.exe

Listdlls.exe

logonsessions.exe

now.exe (from Win2k3 ResKit:http://www.microsoft.com/downloads/details.aspx?FamilyID=9d467a69-57ff-4ae7-96ee-b18c4790cffd&displaylang=en)

openports.exe (download here: http://www.diamondcs.com.au/consoletools/openports.php)

psfile.exe

Psinfo.exe

pslist.exe

psloggedon.exe

psloglist.exe

psservice.exe

seccheck.exe (download here: http://holisticinfosec.org/toolsmith/files/seccheck/seccheck.exe)

showacls.exe (from Win2k3 ResKit: http://www.microsoft.com/downloads/details.aspx?FamilyID=9d467a69-57ff-4ae7-96ee-b18c4790cffd&displaylang=en)

showpriv.exe (from Win2k3 ResKit: http://www.microsoft.com/downloads/details.aspx?FamilyID=9d467a69-57ff-4ae7-96ee-b18c4790cffd&displaylang=en)

sigcheck.exe

srvinfo.exe (from Win2k3 ResKit: http://www.microsoft.com/downloads/details.aspx?FamilyID=9d467a69-57ff-4ae7-96ee-b18c4790cffd&displaylang=en)

Tcpvcon.exe

5) Descargar MIR-ROR desde: http://mirror.codeplex.com/Release/ProjectReleases.aspx?ReleaseId=34221#DownloadId=87048

6) Renombrar MIR-ROR.txt a MIR-ROR.cmd y ejecutar especificando los dos parámetros necesarios:

You must specify two parameters:

The first is the drive letter for the tools directory.

The second is the drive letter of the target folder:

Example: MIR-ROR.cmd E E or MIR-ROR.cmd F G

El nombre de archivo, directorio o etiqueta del volumen no es válido.

C:\tools\MIR-ROR>MIR-ROR.cmd C C

http://unlugarsinfin.blogspot.es

Comentarios