搜索

[16857] 2021-06-02_WinPmem：一款功能强大的跨平台内存采集工具

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-06-02_WinPmem：一款功能强大的跨平台内存采集工具 W i n P m e m ： 一 款 功 能 强 大 的 跨 平 台 内 存 采 集 工 具 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 6 - 0 2 关 于 关 于 W i n P m e m W i n P m e m 是 一 款 功 能 强 大 的 跨 平 台 内 存 采 集 工 具 ， 在 此 之 前 ， W i n P m e m 一 直 都 是 W i n d o w s 平 台 下 的 默 认 开 源 内 存 采 集 驱 动 器 。 该 工 具 之 前 属 于 R e k a l l 项 目 ， 近 期 被 单 独 拆 分 出 来 作 为 一 个 代 码 库 发 布 。 W i n P m e m 本 质 上 来 说 ， 是 一 款 物 理 内 存 采 集 工 具 ， 该 工 具 拥 有 下 列 特 性 ： 本 质 上 来 说 ， 是 一 款 物 理 内 存 采 集 工 具 ， 该 工 具 拥 有 下 列 特 性 ： 源 代 码 开 源 。 支 持 3 2 和 6 4 位 的 W i n d o w s   X P 和 W i n d o w s   1 0 ， 可 以 使 用 W D K 7 6 0 0 以 支 持 W i n d o w s   X P 。 默 认 情 况 下 ， 我 们 提 供 的 W i n P m e m 可 执 行 程 序 将 会 结 合 W D K 1 0 编 译 以 支 持 W i n d o w s   7 - 1 0 。 使 用 了 三 种 不 同 的 独 立 方 法 来 创 建 内 存 转 储 ， 总 会 有 一 种 方 法 适 用 于 内 核 模 式 r o o t k i t 。 支 持 原 始 内 存 转 储 镜 像 导 出 。 使 用 了 一 个 读 取 设 备 接 口 ， 而 不 是 像 其 他 工 具 一 样 直 接 从 内 核 写 入 镜 像 。 这 样 可 以 允 许 我 们 使 用 复 杂 的 用 户 空 间 镜 像 工 具 ， 并 在 系 统 上 执 行 实 时 分 析 。 工 具 使 用 工 具 使 用 我 们 这 里 提 供 了 两 个 W i n P m e m 可 执 行 程 序 ， 即 w i n p m e m _ m i n i _ x 8 6 . e x e 和 w i n p m e m _ m i n i _ x 6 4 . e x e 。 这 两 个 版 本 都 包 含 了 针 对 3 2 位 和 6 4 位 操 作 系 统 的 驱 动 器 。 文 件 名 中 的 “ m i n i ” 指 的 是 这 个 工 具 仅 使 用 了 一 个 简 单 的 镜 像 工 具 ， 它 只 能 生 成 R A W 格 式 的 镜 像 。 之 前 我 们 发 布 过 一 个 基 于 A F F 4 的 W i n P m e m 镜 像 工 具 ， 但 是 现 在 我 们 对 其 进 行 了 更 新 。 P y t h o n 采 集 工 具 采 集 工 具 - w i n p m e m . p y W i n P m e m 的 P y t h o n 版 程 序 目 前 仍 处 于 开 发 中 ， 但 是 可 以 作 为 一 个 基 于 P y t h o n 的 镜 像 工 具 演 示 使 用 。 w i n p m e m _ m i n i _ x 6 4 . e x e 可 执 行 程 序 可 执 行 程 序 这 个 程 序 可 以 轻 松 用 于 事 件 应 急 响 应 任 务 中 ， 因 为 它 不 需 要 任 何 其 他 的 依 赖 组 件 ， 只 需 要 这 一 个 可 执 行 程 序 即 可 执 行 ， 程 序 将 自 动 加 载 对 应 的 驱 动 器 （ 3 2 位 或 6 4 位 ） ， 并 且 是 独 立 执 行 的 。 工 具 使 用 样 例 工 具 使 用 样 例 下 列 命 令 将 使 用 默 认 的 采 集 方 法 向 p h y s m e m . r a w 写 入 原 始 镜 像 ： w i n p m e m _ m i n i _ x 6 4 . e x e   p h y s m e m . r a w
下 列 命 令 将 使 用 指 定 的 M m M a p I o S p a c e 方 法 获 取 原 始 镜 像 ： 驱 动 器 将 会 在 获 取 到 镜 像 之 后 自 动 卸 载 。 许 可 证 协 议 许 可 证 协 议 本 项 目 的 开 发 与 发 布 遵 循 A p a c h e   v 2 . 0 开 源 许 可 证 协 议 。 项 目 地 址 ： 点 击 底 部 【 阅 读 原 文 】 获 取 精 彩 推 荐 精 彩 推 荐 w i n p m e m _ m i n i _ x 6 4 . e x e   p h y s m e m . r a w w i n p m e m . e x e   - 1   m y i m a g e . r a w
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理