建站
咨詢
售后
建站咨詢
新聞中心
用于導(dǎo)出惡意軟件進程內(nèi)存的Windows逆向工程命令行工具再次回歸了。
成都創(chuàng)新互聯(lián)公司于2013年開始，是專業(yè)互聯(lián)網(wǎng)技術(shù)服務(wù)公司，擁有項目成都做網(wǎng)站、成都網(wǎng)站設(shè)計網(wǎng)站策劃，項目實施與項目整合能力。我們以讓每一個夢想脫穎而出為使命，1280元千陽做網(wǎng)站,已為上家服務(wù),為千陽各地企業(yè)和個人服務(wù),聯(lián)系電話:13518219792
這無疑為惡意軟件研究者帶來巨大便利，因為他們經(jīng)常要將脫殼后的樣本或者注入代碼導(dǎo)入到硬盤進行分析，因此非常需要IDA這類的靜態(tài)分析工具。
用于從內(nèi)存中dump惡意軟件PE文件到硬盤中的Windows工具(用于分析)
Process Dump適用于32和64位的操作系統(tǒng)，工具采用了一種侵略性導(dǎo)入重建方法，并允許在沒有PE headers的區(qū)域進行(在這種情況下PE headers以及導(dǎo)入表會自動生成)。Process Dump支持clean-hash數(shù)據(jù)庫的創(chuàng)建及使用，因此例如kernel32.dll這樣的干凈文件會躲過轉(zhuǎn)儲。
更新內(nèi)容
1、修復(fù)了出現(xiàn)在內(nèi)存區(qū)域、會導(dǎo)致Process Dump掛掉Bug;
2、修復(fù)了在64位Windows中一些模塊無法找到的Bug;
3、現(xiàn)在Verbose模式增加了更多調(diào)試信息。
利用實例
從所有進程中轉(zhuǎn)儲所有模塊(忽略已知的干凈模塊)：
pd64.exe -system
從特定進程標識符中轉(zhuǎn)儲所有模塊：
pd64.exe -pid 0x18A
通過進程名轉(zhuǎn)儲所有模塊：
pd64.exe -p .chrome.
建立clean-hash數(shù)據(jù)庫。這些hash值將被用于從以上命令中排除一些模塊：
pd64.exe -db gen
從一個在PID Oxla3中的特定地址轉(zhuǎn)儲代碼：
pd64.exe -pid 0x1a3 -a 0xffb4000
生成帶有PE文件頭和函數(shù)輸入表的兩個文件(32位和64位)，可加載到IDA中進行分析：
notepad_exe_x64_hidden_FFB40000.exe notepad_exe_x86_hidden_FFB40000.exe
下載用于Windows32%64位的執(zhí)行文件：pd_latest(100.32KB)
或者你可以使用Visual Studio自己建一個，點擊這里
當前名稱：惡意軟件研究者的福音：PROCESSDUMPv1.5正式發(fā)布
文章轉(zhuǎn)載：http://www.5511xx.com/article/cossijj.html
