内存取证第一步——进程内存Dump与内存镜像Dump
＃Procdump＃
◆ 简介
? ProcDump 是一种命令行实用程序，其主要目的是监控 CPU 峰值的应用程序，并在峰值期间生成崩溃转储，管理员或开发人员可以用它来确定峰值的原因。ProcDump 还包括挂窗监控（使用 Windows 和任务管理器使用的窗口挂起的相同定义）、未处理的异常监控，并可以根据系统性能计数器的值生成转储。它也可以作为一个一般过程转储实用程序，你可以嵌入到其他脚本。?使用需提前知道目标进程的PID号（该工具存在Linux版本，Linux系统下使用方式见后文。）
◆ 下载地址
https：／／docs．microsoft．com／zh－cn／sysinternals／downloads／procdump
◆ 环境限制
系统环境限制：Windows／Linux
◆ 转储进程方式
Windows系统下查询进程PID
PID可在命令行中输入tasklist查询所有进程，也可在任务管理器中查看
https：／／docs．microsoft．com／zh－cn／windows－hardware／drivers／debugger／finding－the－process－id（查询PID方式）
形式1：图形化
命令行执行procdump．exe应用程序，第一次运行需要同意用户协议
使用该工具需要同意用户协议后才可以正常使用
目标转储进程名为：shell．exe，PID号为：2380的进程内存，内存转储文件默认存储位置与procdump．exe处于同一目录
所用到的参数：－ma dump指定进程的所有内存信息
．procdump．exe －ma 2380
形式2：命令行
本次实验环境为msf回弹shell，命令行下同意用户协议需要加参数－accepteula（同样第一次使用同意）
下图为同意用户终端协议
同意用户协议后可正常使用，使用方式同图形化使用方式：procdump．exe －ma 2380
内存镜像
＃DumpIt＃
◆ 简介
利用Dumplt可以将一个系统的完整内存镜像dump下来，dumplt制作的内存镜像（raw文件）与系统内存接近。
◆ 下载地址
https：／／www．downloadcrew．com／article／23854－dumpit
◆ 环境限制
仅可在Windows系统下运行
◆ 使用Dumplt制作系统内存镜像
双击Dumplt．exe运行，输入y并回车。开始制作系统内存镜像。
回显Success为制作成功，默认存储路径与Dumplt．exe文件处于同一路径。获取到整个系统内存文件后，可导入Volatility进行内存取证分析。
分享
最新活动更多
-
11月28日立即报名>>> 2024工程师系列—工业电子技术在线会议
-
12月19日立即报名>> 【线下会议】OFweek 2024（第九届）物联网产业大会
-
即日-12.26火热报名中>> OFweek2024中国智造CIO在线峰会
-
即日-2025.8.1立即下载>> 《2024智能制造产业高端化、智能化、绿色化发展蓝皮书》
-
精彩回顾立即查看>> 2024 智能家居出海论坛
-
精彩回顾立即查看>> 【在线会议】多物理场仿真助跑新能源汽车
推荐专题
发表评论
请输入评论内容...
请输入评论/评论长度6~500个字
暂无评论
暂无评论