内存取证第一步——进程内存Dump与内存镜像Dump
＃Procdump＃
◆ 简介
? ProcDump 是一种命令行实用程序，其主要目的是监控 CPU 峰值的应用程序，并在峰值期间生成崩溃转储，管理员或开发人员可以用它来确定峰值的原因。ProcDump 还包括挂窗监控（使用 Windows 和任务管理器使用的窗口挂起的相同定义）、未处理的异常监控，并可以根据系统性能计数器的值生成转储。它也可以作为一个一般过程转储实用程序，你可以嵌入到其他脚本。?使用需提前知道目标进程的PID号（该工具存在Linux版本，Linux系统下使用方式见后文。）
◆ 下载地址
https：／／docs．microsoft．com／zh－cn／sysinternals／downloads／procdump
◆ 环境限制
系统环境限制：Windows／Linux
◆ 转储进程方式
Windows系统下查询进程PID
PID可在命令行中输入tasklist查询所有进程，也可在任务管理器中查看
https：／／docs．microsoft．com／zh－cn／windows－hardware／drivers／debugger／finding－the－process－id（查询PID方式）
形式1：图形化
命令行执行procdump．exe应用程序，第一次运行需要同意用户协议
使用该工具需要同意用户协议后才可以正常使用
目标转储进程名为：shell．exe，PID号为：2380的进程内存，内存转储文件默认存储位置与procdump．exe处于同一目录
所用到的参数：－ma dump指定进程的所有内存信息
．procdump．exe －ma 2380
形式2：命令行
本次实验环境为msf回弹shell，命令行下同意用户协议需要加参数－accepteula（同样第一次使用同意）
下图为同意用户终端协议
同意用户协议后可正常使用，使用方式同图形化使用方式：procdump．exe －ma 2380
内存镜像
＃DumpIt＃
◆ 简介
利用Dumplt可以将一个系统的完整内存镜像dump下来，dumplt制作的内存镜像（raw文件）与系统内存接近。
◆ 下载地址
https：／／www．downloadcrew．com／article／23854－dumpit
◆ 环境限制
仅可在Windows系统下运行
◆ 使用Dumplt制作系统内存镜像
双击Dumplt．exe运行，输入y并回车。开始制作系统内存镜像。
回显Success为制作成功，默认存储路径与Dumplt．exe文件处于同一路径。获取到整个系统内存文件后，可导入Volatility进行内存取证分析。
分享
最新活动更多
-
1月8日火热报名中>> Allegro助力汽车电气化和底盘解决方案优化在线研讨会
-
即日-1.16立即报名>>> 【在线会议】ImSym 开启全流程成像仿真时代
-
即日-1.24立即参与>>> 【限时免费】安森美：Treo 平台带来出色的精密模拟
-
2月28日火热报名中>> 【免费试用】东集技术年终福利——免费试用活动
-
4日10日立即报名>> OFweek 2025（第十四届）中国机器人产业大会
-
7.30-8.1火热报名中>> 全数会2025（第六届）机器人及智能工厂展
推荐专题
发表评论
请输入评论内容...
请输入评论/评论长度6~500个字
暂无评论
暂无评论