MIG：一款功能强大的高速分布式实时数据取证工具

FB客服

发布于 2019-08-29 18:13:58

9900

发布于 2019-08-29 18:13:58

文章被收录于专栏：FreeBufFreeBuf

MIG，全称为Mozilla InvestiGator，它是一款基于Mozilla平台的高速分布式实时数据取证工具，广大研究人员可以利用MIG来对远程终端进行安全诊断和取证分析。

注意事项

Mozilla目前已不再维护Mozilla InvestiGator(MIG)项目。同时Mozilla也不再在内部使用该项目源码。本项目仅出于研究目的，请不要将其用于恶意用途。

快速使用/Docker

你可以使用Docker在本地配置MIG项目，容器环境不适合正式版使用，但可以允许我们进行快速实验，并提供一个具备大多数MIG组件的单一容器环境。

从Dockers Hub获取项目源码：

$docker pull mozilla/mig$docker run -it mozilla/mig

或者，你也可以使用项目源码构建自己的镜像文件：

$ cd $GOPATH/src/github.com/mozilla/mig$docker build -t mozilla/mig:latest .$docker run -it mozilla/mig

在容器环境内，你可以使用MIG工具来查询本地代理：

mig@5345268590c8:~$/go/bin/mig file -t all -path /usr/bin -sha25c1956eba492b2c3fffd8d3e43324b5c477c22727385be226119f7ffc24aad3f1agents will be targeted. ctrl+c to cancel. launching in 5 4 3 2 1 GOFollowingaction ID 7978299359234. 1 / 1[=========================================================] 100.00% 0/s4s100.0%done in 3.029105958s1sent, 1 done, 1 succeededed11f485244a/usr/bin/wget [lastmodified:2016-07-05 15:32:42 +0000 UTC, mode:-rwxr-xr-x,size:419080] in search 's1'1agent has found results

工具机制

MIG由基础架构中所有系统上的代理终端所组成，这些代理要求可以对终端的文件系统、网络状态、内存情况以及配置信息进行实时审计。

想象一下，假设现在是星期天的早上七点钟，有人发布了一个严重的PHP安全漏洞（包括漏洞利用代码和入侵威胁指标IoC），而你的PHP应用程序正好就存在这个漏洞。那你这个周末就崩了，而且你还需要手动审计大量系统中成千上万行代码，想想就可怕。

此时，MIG就派上用场了，我们可以使用MIG的file模块并基于签名来搜索存在漏洞的PHP应用程序（基于文件的MD5、正则表达式或文件名）。类似的，我们还可以用MIG来调查特定的日志条目、后门文件、僵尸网络IP地址或内存中的特定字符串。仅仅通过几行命令，我们就可以远程审计数千个系统，以验证安全风险是否存在。

MIG采用的是轻量级代理，安全性有保证，而且容易部署，我们可以将它们添加到系统的基础部署中，而不必担心影响现有的生产网络。MIG采用了快速的异步传输机制，可以使用AMQP将操作命令分发到各个端点，并依赖Go信道来防止阻塞事件发生。运行的操作指令将存储到PostgreSQL数据库和磁盘缓存中，以实现平台可靠性。值得一提的是，大多数操作在代理上只需要几百毫秒即可完成。