利用Volatility进行Windows内存取证分析(二):内核对象、内核池学习小记 简介 windows下内存取证的内容概括起来讲就是检测系统中有没有恶意程序,有没有隐藏进程,有没有隐藏文件,有没有隐藏服务,有没有隐藏的驱动,有没有隐藏网络端口等等.而进程,文件,驱动等等部件在内存中是以内核对象的形式独立存在的。而通常形形色色的rootkit会尝试修改操作系统的内部数据结构来[……] [阅读全部] 2017年11月2日By lindi 实用工具, 技术分析 Volatility, 内存取证Leave a Comment
利用Volatility进行Windows内存取证分析(一):初体验 简介 承接上文,上文中使用cuckoo沙箱的时候提到过,分析恶意代码的时候,首先利用沙箱做粗略分析,然后可以目标程序进行动态分析(OD,Windbg调试)或者静态分析(IDA静态反汇编).如果嫌每次逆向麻烦的话,同样可以借助Volatility这类框架来做内存取证分析.Volatility是一[……] [阅读全部] 2017年11月2日By lindi 实用工具, 技术分析 Volatility, 内存取证Leave a Comment
布谷鸟沙箱初体验 简介 安全研究员平时在进行恶意代码分析的时候,为了避免过多重复繁杂的人工分析,首先会使用沙箱进行自动化分析,如果碰到比较新颖的样本,再考虑进一步人工分析。最近笔者体验了一下布谷鸟这款开源的沙箱即cuckoo sandbox,按照官方文档搭建环境的时候遇到了各种各样安装报错的情况,所以笔者将成功[……] [阅读全部] 2017年11月2日By lindi 实用工具, 技术分析 Volatility, 布谷鸟Leave a Comment