news 2026/6/23 23:26:47

30、利用内存取证技术猎杀恶意软件

作者头像

张小明

前端开发工程师

1.2k 24
文章封面图
30、利用内存取证技术猎杀恶意软件

利用内存取证技术猎杀恶意软件

1. 内存获取

在处理大内存服务器时，可使用 DumpIt 中的/R或/COMPRESS选项，生成.zdmp（Comae 压缩崩溃转储）文件，既能减小文件大小，又能加快获取速度。之后可通过 Comae Stardust 企业平台（https://my.comae.io）分析该转储文件。更多详情可参考：https://blog.comae.io/rethinking-logging-for-critical-assets-685c65423dc0。

对于虚拟机（VM），多数情况下可通过暂停 VM 来获取其内存。例如，在 VMware Workstation/VMware Fusion 上执行恶意软件样本后，暂停 VM，会将访客系统的内存（RAM）写入主机磁盘上扩展名为.vmem的文件。对于像 VirtualBox 这类无法通过暂停获取内存的应用程序，可在访客机内使用 DumpIt。

2. Volatility 概述

获取受感染系统的内存后，下一步是分析获取的内存镜像。Volatility（http://www.volatilityfoundation.org/releases）是一个用 Python 编写的开源高级内存取证框架，可用于分析和提取内存镜像中的数字工件。它能在多种平台（Windows、macOS 和 Linux）上运行，支持分析 32 位和 64 位版本的 Windows、macOS 和 Linux 操作系统的内存。

3. 安装 Volatility
版权声明: 本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若内容造成侵权/违法违规/事实不符，请联系邮箱：809451989@qq.com进行投诉反馈，一经查实，立即删除！
网站建设 2026/6/24 1:52:31

31、利用内存取证技术进行恶意软件狩猎

利用内存取证技术进行恶意软件狩猎 1. Volatility插件基础操作 Volatility的 pslist 插件支持多种选项和参数，可通过在插件名后输入 -h （ --help ）查看。以下是一些常用选项及操作示例： - 输出重定向 ：使用 --output-file 选项可将 pslist 的输出重定向到文…

作者头像 李华
网站建设 2026/6/24 1:52:29

32、利用内存取证技术进行恶意软件狩猎

利用内存取证技术进行恶意软件狩猎 在当今数字化的时代，恶意软件的威胁无处不在。内存取证作为一种强大的技术手段，可以帮助我们深入了解系统内存中的恶意活动，从而更好地应对恶意软件的攻击。本文将介绍一些利用内存取证技术检测和分析恶意软件的方法和工具。 1. 检测隐藏…

作者头像 李华
网站建设 2026/6/24 1:53:13

33、利用内存取证检测高级恶意软件

利用内存取证检测高级恶意软件 在当今数字化的时代，恶意软件的威胁日益严峻，它们不断进化，采用各种隐蔽和逃避检测的技术。内存取证作为一种强大的技术手段，能够从计算机内存中发现和提取有价值的取证信息，帮助我们深入了解恶意软件的行为和特征。本文将详细介绍如何利用…

作者头像 李华
网站建设 2026/6/23 6:10:50

34、利用内存取证检测高级恶意软件

利用内存取证检测高级恶意软件 1. 检测空心进程注入 检测空心进程注入可以通过查看进程环境块（PEB）和虚拟地址描述符（VAD）之间的差异、内存保护差异以及父子进程关系差异来实现。 以Stuxnet为例，系统上有两个 lsass.exe 进程在运行。第一个 lsass.exe 进程（pid 708…

作者头像 李华
网站建设 2026/6/24 1:53:03

35、利用内存取证检测高级恶意软件

利用内存取证检测高级恶意软件 1. 列出内核模块 在内存取证中，检测恶意软件时常常需要列出内核模块。以下是几种常用的方法： 使用 volatility 工具的 modules 和 modscan 插件 可以使用以下命令查找特定的内核模块，例如查找 2b9fb.sys ： $ python vol.py -f …

作者头像 李华
网站建设 2026/6/24 1:49:27

37、利用内存取证检测高级恶意软件

利用内存取证检测高级恶意软件 1. 常见钩子检测技术概述 在恶意软件检测领域，检测标准的钩子技术相对较为直接。攻击者常用的钩子技术包括SSDT（系统服务描述符表）钩子、IDT（中断描述符表）钩子、内联内核钩子以及IRP（I/O请求包）函数钩子等。然而，这些技术也存在容易被…

作者头像 李华