四、基于PXE方式的冷啟動(dòng)內(nèi)存映像攻擊
至于通過(guò)PXE方式獲取目標(biāo)計(jì)算機(jī)的內(nèi)存信息映像，在已經(jīng)配置好PXE服務(wù)器前提下，還要求目標(biāo)計(jì)算機(jī)的網(wǎng)卡支持PXE方式遠(yuǎn)程啟動(dòng)。
另外，還必需在PXE服務(wù)器上運(yùn)行TFTP服務(wù)，并將下載回來(lái)的PXE內(nèi)存映像壓縮包中PXE目錄下的二進(jìn)制文件，復(fù)制到PXE服務(wù)器的TFTP目錄，并修改其中的pxelinux配置，使它指向該文件。
然后，需要一個(gè)人去關(guān)閉目標(biāo)計(jì)算機(jī)的電源，并以最快的速度在控制計(jì)算機(jī)通過(guò)PXE方式遠(yuǎn)程啟動(dòng)目標(biāo)計(jì)算機(jī)。當(dāng)目標(biāo)計(jì)算機(jī)獲取一個(gè)DHCP地址并從網(wǎng)絡(luò)啟動(dòng)時(shí)，就會(huì)顯示一個(gè)狀態(tài)消息。
此時(shí)，由于PXE方式不同于USB磁盤方式，內(nèi)存映像工具不會(huì)自動(dòng)執(zhí)行，就需要在pxedump目錄下執(zhí)行如下的命令：
./pxedump 目錄主機(jī)的IP地址 > memimage.img
從上面可以看出，使用基于PXE方式去進(jìn)行內(nèi)存映像攻擊是很難一個(gè)人去實(shí)現(xiàn)，也就不太可能被攻擊者經(jīng)常使用了。因此，最需要我們關(guān)注的是基于USB磁盤方式的內(nèi)存映像攻擊。
六、應(yīng)對(duì)之策
當(dāng)攻擊者可以直接接觸目標(biāo)計(jì)算機(jī)時(shí)，使用冷啟動(dòng)方式的內(nèi)存映像攻擊是非常有效的，尤其是針對(duì)筆記本電腦時(shí)。
但是，這種攻擊方式仍然有許多限制的。首先，被攻擊的目標(biāo)計(jì)算機(jī)在攻擊前必需是運(yùn)行的，或處于休眠或掛起狀態(tài)。另外，一些計(jì)算機(jī)使用ECC內(nèi)存，它們?cè)跀嚯姾髸?huì)清除內(nèi)存中的信息的速度非?？?，根本沒(méi)有機(jī)會(huì)執(zhí)行相對(duì)來(lái)說(shuō)非常短暫的內(nèi)存映像工作。
因此，要防范冷啟動(dòng)方式的內(nèi)存映像攻擊，在重要的上使用ECC內(nèi)存，從物理上防止人們接觸到計(jì)算機(jī)，禁用計(jì)算機(jī)網(wǎng)卡的PXE遠(yuǎn)程啟動(dòng)功能，就可以達(dá)到非常好的效果。
但是，這些防范方法很難杜絕來(lái)自內(nèi)部的攻擊。例如一個(gè)擁有接觸目標(biāo)計(jì)算機(jī)權(quán)限的員工，就很容易使用USB內(nèi)存映像工具，從鎖定了屏幕的服務(wù)器的內(nèi)存中獲取重要的信息，然后將USB磁盤帶出企業(yè)。這就說(shuō)明在使用防范內(nèi)存映像攻擊方法的同時(shí)，還必需使用其它的安全防范策略，才有可能將這種安全威脅減小至最小的水平。
不過(guò)，內(nèi)存映像工具并不只是可以用于進(jìn)行攻擊，它還可以作為一種積極的工具，幫助我們對(duì)受到攻擊的計(jì)算機(jī)進(jìn)行取證?；蛘弋?dāng)你不記得屏幕保護(hù)程序的鎖定密碼，以及忘記休眠后的系統(tǒng)登錄密碼時(shí)，也可以使用內(nèi)存映像工具來(lái)得到正確的密碼。