摘要：
多数ARK反内核工具中都存在驱动级别的内存转存功能，该功能可以将应用层中运行进程的内存镜像转存到特定目录下，内存转存功能在应对加壳程序的分析尤为重要，当进程在内存中解码后，我们可以很容易的将内存镜像导出，从而更好的对样本进行分析，当然某些加密壳可能无效但绝大多数情况下是可以被转存的。 阅读全文
posted @ 2022-10-11 18:34
lyshark
阅读(1221)
评论(0)
推荐(0)
摘要：
在上一篇博文`《驱动开发：内核通过PEB得到进程参数》`中我们通过使用`KeStackAttachProcess`附加进程的方式得到了该进程的PEB结构信息，本篇文章同样需要使用进程附加功能，但这次我们将实现一个更加有趣的功能，在某些情况下应用层与内核层需要共享一片内存区域通过这片区域可打通内核与应用层的隔离，此类功能的实现依附于MDL内存映射机制实现。 阅读全文
posted @ 2022-10-11 11:47
lyshark
阅读(1644)
评论(2)
推荐(2)
浙公网安备 33010602011771号