内存取证第一步——进程内存Dump与内存镜像Dump
＃Procdump＃
◆ 简介
? ProcDump 是一种命令行实用程序，其主要目的是监控 CPU 峰值的应用程序，并在峰值期间生成崩溃转储，管理员或开发人员可以用它来确定峰值的原因。ProcDump 还包括挂窗监控（使用 Windows 和任务管理器使用的窗口挂起的相同定义）、未处理的异常监控，并可以根据系统性能计数器的值生成转储。它也可以作为一个一般过程转储实用程序，你可以嵌入到其他脚本。?使用需提前知道目标进程的PID号（该工具存在Linux版本，Linux系统下使用方式见后文。）
◆ 下载地址
https：／／docs．microsoft．com／zh－cn／sysinternals／downloads／procdump
◆ 环境限制
系统环境限制：Windows／Linux
◆ 转储进程方式
Windows系统下查询进程PID
PID可在命令行中输入tasklist查询所有进程，也可在任务管理器中查看
https：／／docs．microsoft．com／zh－cn／windows－hardware／drivers／debugger／finding－the－process－id（查询PID方式）
形式1：图形化
命令行执行procdump．exe应用程序，第一次运行需要同意用户协议
使用该工具需要同意用户协议后才可以正常使用
目标转储进程名为：shell．exe，PID号为：2380的进程内存，内存转储文件默认存储位置与procdump．exe处于同一目录
所用到的参数：－ma dump指定进程的所有内存信息
．procdump．exe －ma 2380
形式2：命令行
本次实验环境为msf回弹shell，命令行下同意用户协议需要加参数－accepteula（同样第一次使用同意）
下图为同意用户终端协议
同意用户协议后可正常使用，使用方式同图形化使用方式：procdump．exe －ma 2380
内存镜像
＃DumpIt＃
◆ 简介
利用Dumplt可以将一个系统的完整内存镜像dump下来，dumplt制作的内存镜像（raw文件）与系统内存接近。
◆ 下载地址
https：／／www．downloadcrew．com／article／23854－dumpit
◆ 环境限制
仅可在Windows系统下运行
◆ 使用Dumplt制作系统内存镜像
双击Dumplt．exe运行，输入y并回车。开始制作系统内存镜像。
回显Success为制作成功，默认存储路径与Dumplt．exe文件处于同一路径。获取到整个系统内存文件后，可导入Volatility进行内存取证分析。
分享
最新活动更多
-
5月28日立即观看>> 【在线研讨会】Ansys镜头点胶可靠性技术及方案
-
5月29日抢占席位>> 2024 TUYA全球开发者大会
-
5月31日立即报名>> 【线下论坛】新唐科技2024未来创新峰会
-
6月18日立即投票>> 【维科杯】OFweek 2024（第九届）物联网行业年度评选
-
6月18日立即报名>> 【线下会议】OFweek 2024（第九届）物联网产业大会
-
8月27-29日马上报名>>> 2024（第五届）全球数字经济产业大会暨展览会
推荐专题
发表评论
请输入评论内容...
请输入评论/评论长度6~500个字
暂无评论
暂无评论