搜索

[7823] 2014-02-26_利用Volatility查找系统中的恶意DLL

文档创建者：s7ckTeam
浏览次数：25
最后更新：2025-01-17
2014-02-26_利用Volatility查找系统中的恶意DLL 利 用 V o l a t i l i t y 查 找 系 统 中 的 恶 意 D L L F r e e B u f   2 0 1 4 - 0 2 - 2 6 昨 天 看 到 @ 白 河 · 愁   发 了 《 L i n u x 下 内 存 取 证 工 具 V o l a t i l i t y 的 使 用 》 ， 今 天 恰 好 看 到 一 篇 V o l a t i l i t y 利 用 的 文 章 ， 文 章 不 长 ， 就 翻 译 了 过 来 。 原 文 地 址 ： h t t p : / / c a r n a l 0 w n a g e . a t t a c k r e s e a r c h . c o m / 2 0 1 4 / 0 2 / f i n d i n g - m a l i c i o u s - d l l s - w i t h - v o l a t i l i t y . h t m l 译 文 ： C o l i n 和 我 最 近 正 致 力 于 研 究 一 个 内 存 镜 像 ， 需 要 找 到 由 s v c h o s t . e x e 加 载 的 所 有 D L L ， 选 择 使 用 大 家 熟 知 的 内 存 分 析 工 具   — V o l a t i l i t y 。 V o l a t i l i t y 无 法 通 过 进 程 名 查 看 加 载 的 d l l ， 而 是 通 过 指 定 进 程 的 P I D 来 将 所 有 已 加 载 的 d l l 列 出 。 但 是 ， 如 果 系 统 中 有 多 个 同 名 的 进 程 （ 如 s v c h o s t . e x e ） ， 我 们 可 以 用 以 类 似 图 1 所 示 的 命 令 进 行 查 找 ： 不 过 这 个 方 法 在 我 们 的 使 用 过 程 中 不 怎 么 好 用 ， 因 此 决 定 研 究 一 下 V o l a t i l i t y 的 源 码 ， 对 其 做 一 些 小 的 调 整 以 使 其 适 应 我 们 的 需 求 。 经 过 研 究 ， 我 们 修 改 了 能 最 终 影 响 d l l l i s t 的 模 块 t a s k m o d s . p y 。 未 修 改 之 前 ， 用 - h 选 项 查 看 d l l l i s t 插 件 的 帮 助 信 息 ， 会 列 出 其 支 持 的 所 有 选 项 ， 如 o f f s e t 、 p i d 等 ， 如 图 2 所 示 ： 而 我 们 修 改 过 的 t a s k m o d s . p y 模 块 为 其 添 加 了 一 个 新 的 选 项 ， 即 通 过 进 程 名 来 添 加 一 个 进 程 或 进 程 列 表 ， 如 图 3 ：
现 在 我 们 只 需 要 简 单 地 给 出 s v c h o s t . e x e 进 程 名 ， 就 可 以 得 到 由 该 进 程 加 载 的 D L L 文 件 列 表 。 如 果 系 统 中 运 行 着 非 标 准 s v c h o s t . e x e 进 程 ， 该 命 令 同 样 会 将 其 显 示 出 来 ， 命 令 如 下 ：   v o l . p y   - f   7 r e - 9 1 2 d 4 a d 7 . v m e m   - - p r o f i l e W i n 7 S P 1 x 6 4   d l l l i s t   - n   s v c h o s t . e x e 得 到 如 下 输 出 ： 相 信 还 有 其 它 的 方 法 可 以 达 到 相 同 的 目 的 ， 但 本 文 提 到 的 这 种 方 法 在 我 们 的 研 究 过 程 中 工 作 良 好 ， 因 此 将 其 共 享 出 来 ， 各
位 读 者 可 以 通 过 以 下 地 址 获 取 该 模 块 ： h t t p s : / / g i t h u b . c o m / A t t a c k R e s e a r c h / r a n d m o n / b l o b / m a s t e r / v o l a t i l i t y _ p l u g i n s / t a s k m o d s . p y 只 需 要 在 v o l a t i l i t y   安 装 目 录 的 插 件 目 录 $ V O L A T I L I T Y H O M E / v o l a t i l i t y / p l u g i n s 中 用 新 的 t a s k m o d s . p y 文 件 覆 盖 原 来 的 文 件 ， 即 可 完 成 安 装 。 我 们 在 W i n d o w s   X P   与   W i n d o w s   7 中 测 试 了 v o l a t i l i t y 2 . 2 ,   2 . 3 ,   2 . 3 . 1 ， 均 未 发 现 问 题 ， 可 以 放 心 使 用 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理