Domaine 07

Réponse à chaud

Quand un hôte ne peut pas être arrêté, la réponse à chaud capture l'état volatil avant qu'il ne disparaisse. Ce domaine montre comment travailler avec des binaires de confiance, ce que /proc révèle de chaque processus, comment récupérer un binaire supprimé en cours d'exécution et pourquoi les outils utilisateur peuvent mentir.

/proc/<pid>/exe
ss -tanp
/proc/modules

Guides de ce domaine

Ces guides sont pour l'instant publiés en anglais uniquement. Les liens ci-dessous ouvrent la version anglaise.

07 · Réponse à chaudAnglais

Linux Live Response: Triage Through /proc and Volatile Data

A practical Linux live response workflow: trusted binaries, logging your actions, and triaging processes, sockets and modules through /proc before shutdown.

live-responseproctriage

28 sept. 2026

Fiches artefacts

Emplacement de chaque artefact, ce qu'il prouve, ses horodatages et les outils pour l'analyser.

Artefacts live de /proc : processus, sockets, suppressionsLe pseudo-système /proc d'un hôte Linux live : lignes de commande, environnement, fichiers ouverts, mappages mémoire, sockets et binaires supprimés.
Linux Kernel Modules: lsmod, Taint Flags and Boot ConfigLoaded and configured Linux kernel modules (/proc/modules, /sys/module, modules-load.d, modprobe.d, taint flags) for spotting rootkits and module persistence.
/tmp, /var/tmp and /dev/shm: Linux Staging DirectoriesWorld-writable Linux directories attackers use to stage tools: tmpfs versus disk, cleanup ages, noexec, memfd fileless execution and what survives reboot.
NetworkManager Profiles and State: Linux Network HistoryNetworkManager connection profiles, timestamps, seen BSSIDs and DHCP leases on Linux: which networks, VPNs and Wi-Fi a host joined and when.
eBPF Programs and Pinned Maps: Linux Kernel ImplantsLoaded eBPF programs, pinned objects in /sys/fs/bpf and their loaders on disk: how eBPF rootkits and BPF backdoors hide on Linux and how to find them.
dmesg, kern.log and the Kernel Ring Buffer on LinuxThe Linux kernel log: dmesg ring buffer, kern.log, messages, journal and pstore, plus the segfault, OOM kill and promiscuous mode lines that matter.
sysctl, Boot Parameters and binfmt_misc on LinuxLinux kernel settings in sysctl.d, /proc/sys and the boot command line: core_pattern and modprobe hijacks, weakened protections, ip_forward, binfmt_misc.
/etc/hosts, nsswitch.conf and resolv.conf on LinuxLinux name resolution files as evidence: /etc/hosts redirects, resolv.conf and systemd-resolved DNS changes, and NSS module backdoors in nsswitch.conf.

Tous les domaines