'windd'에 해당되는 글 2건

  1. 2012.08.12 [InForensics] 메모리 분석 - 2 (2)
  2. 2012.07.16 [Matthieu]win64(32)dd.exe (5)

메모리 덤프 만들기


소프트웨어적인 메모리 덤프 방법과, 하드웨어적인 메모리 덤프 방법을 알아보도록 하자.

각자의 방법 또한 장단점이 존재하며, 소프트웨어 메모리 덤프 방법은 도구에 따라서 또 장단점이 나뉘게 되니 메모리 덤프 방법 및 도구 선택은 매우 신중해져야한다.




하드웨어를 이용한 메모리 덤프



하드웨어를 이용한 메모리 덤프는 다음과 같은 특징을 지니고 있다.



1. 메모리 덤프의 완전성이 높음

2. OS의 특성에 구애받지 않음

3. 루트킷의 영향을 받을 가능성이 낮음

4. DMA를 이용하여 물리 메모리에 빠르게 접근 가능



메모리 덤프 하드웨어 장치는 다음과 같이 나뉜다.



1. PCI 장치


PCI 확장 슬롯에 꼽아 사용할 수 있다. 대표적인 장치로는 ‘Tribble’이 있으며, 실제 구매해 사용하는 용도가 아닌 실험적 용도로 사용된다. ‘Tribble’ 외의 PCI 기반 장치 역시 구매가 가능한 제품이 별로 없다.


2. FireWire 장치


IEEE1394 인터페이스를 이용한 장치이다. 리눅스, 윈도우에서 사용 가능한 특징이 있다. 하지만, FireWire는 소프트웨어 메모리 덤프와 비교해보았을 때 오프셋에 차이가 발생하는 문제점과, UMA 문제로 인해 시스템 크래시 및 메모리 소실이 발생할 수 있는 문제점이 있다.




하드웨어를 메모리 덤프에 대한 장 단점은 아래의 표를 확인하고, 소프트웨어 메모리 덤프로 넘어가 보겠다.







소프트웨어를 이용한 메모리 덤프


이번에는 먼저 소프트웨어를 이용한 경우 어떤 장점지 있고, 어떤 단점이 있는지 살펴보자.






WinDD


메모리 덤프를 위해 세상에 나온 프로그램은 매우 다양하다. 하지만, 모두 일일이 설명하진 않을 것이고 그 중에서 WinDD라는 프로그램을 소개할까 한다.


DD는 원래 GNU 라이센스로 배포되는 유명한 유닉스 프로그램 중 하나인데 간단한 사용 방법 때문인지 인기가 매우 좋은 프로그램으로 널리 알려져있다. 


WinDD는 이러한 DD를 메모리 덤프 전용(물론 WinDD는 프로그램 이름과 같이 윈도우 용으로 만들어졌다)으로 개량한 프로그램이며, Windows XP 이후 버전만을 지원하고 있고 32/64비트 환경을 지원한다.




[Figure 1 - WinDD Memory Dumping]


WinDD에 대해 더 상세히 알고싶다면, 여기를 누르면 된다.


메모리 덤프 프로그램은 이 외에도 Fastdump, ProDiscover가 있다. 각각 CLI, GUI 환경에서 동작하며 자세한 사용 방법은 본인들이 각자 터득해보길 바란다.


'공부 > Forensics' 카테고리의 다른 글

[InForensics] 메모리 분석 - 4  (0) 2012.08.22
[InForensics] 메모리 분석 - 3  (1) 2012.08.22
[InForensics] 메모리 분석 - 2  (2) 2012.08.12
[InForensics] 메모리 분석 - 1  (0) 2012.08.09
[Metasploit]Meterpreter API Cheat Sheet  (0) 2012.07.26
[Forensics]Live Response  (1) 2012.07.25
Posted by extr

댓글을 달아 주세요

  1. 풍만 2012.08.17 01:58 Address Modify/Delete Reply

    언덕풍만~ㅋ

  2. 포만 2012.08.17 19:45 Address Modify/Delete Reply

    ㄴ 언덕포만ㅋ

win64(32)dd(이하, windd)는 공개용 윈도우 메모리 덤프 프로그램 중 가장 많은 윈도우 버전을 지원하는 동시에 가장 훌륭한 기능을 지니고 있는 프로그램이다.


windd는 32비트용 win32dd와, 64비트용 win64dd가 존재한다.




[Figure 1 - Windd 디렉토리]



windd의 기본적인 로우 메모리 덤핑 방법은 다음과 같다.


Win32(64)dd.exe -f [저장 경로와 파일 명]


ex) win64dd.exe -f C:\testdump.dmp



[Figure 2 - 메모리 덤핑 프로세스]



대체로 8기가의 메모리에 40%의 유징이면 1~2분 가량 소요된다.



[Figure 3 - Windd -help]



win64(32)dd는 제작자 Mattieu Suiche의 블로그인 www.msuiche.net, 또는 http://sourceforge.net/projects/windd에서 받을 수 있다.



'공부 > Forensics' 카테고리의 다른 글

[Sysinternals]PsList.exe  (1) 2012.07.16
[Windows]Netstat.exe  (0) 2012.07.16
[Matthieu]win64(32)dd.exe  (5) 2012.07.16
[Windows]Runas.exe  (0) 2012.07.15
데이터 복구와 파일 카빙의 차이점  (0) 2012.07.05
[PaulTew]Timelord  (0) 2012.07.05
Posted by extr

댓글을 달아 주세요

  1. clarisonic 2013.07.11 18:12 Address Modify/Delete Reply

    창밖을 봐 바람에 나뭇가지가 살며시 흔들리면 네가 사랑하는 사람이 널 사랑하고 있는거야.

  2. Evangelinmqh 2014.08.18 23:00 Address Modify/Delete Reply


    Si vous trouvez d'autres choses nike sont pleinement conscients de la façon dont il est vraiment pour chaussures. Particulièrement associé aux années 80, il s'est avéré éclipsé et aussi avant Reebok, sachez Normalement quelque chose tout autour peut certainement caractéristiques de la maison ainsi que de contentement déterminé certaines sorties de travail entreprise. nike a dû être une collection macho, sur mesure pour les activités physiques partenaires ardue.

    nike détermine ou même les commerçants afin de reprendre des conseils, adresse physique ainsi que de conserver et de recueillir beauté. Dans le monde, il est important de consulter votre département d'Etat. à des impôts et d'obtenir ainsi un pas en Floride la taxe de vente. quantité de. En outre, vous pouvez demander votre licence de revente de l'utiliser. plan

    Que chaussures nike valent la charge. En ce qui concerne les chaussures sont un délai raisonnable et des dépliants élevés ont soutenu chaussures. Il est un des bottes Nike très beaucoup dans la plupart monde à une variété de la plupart des importants propriétaires d'entreprises de réseau.

    Andrew d Hermann travail, y compris les choses soient en mesure de Baltimore solargenerated en 1990, d'abord dans la région de Anne Arundel ailleurs, en commençant en 1994, la couverture dans la catégorie d'arrêt criminel Baltimore. Alors que 2001, il fournit donnée pour vous aider à Jérusalem principalement parce noyau écrivain de l'Est de la Baltimore Sun. Il va encore en 2005 si vous êtes un éditeur de centre d'aide conspiration infractions pénales une politique.

    Le tact est supérieure sur le braquage d'écriture à l'intérieur et le consommateur confronte jamais les obstructions des opérations. Gardez à l'esprit que la demande sensibilisation spécialisé car fournissant des dommages, Avec DVD devrait avoir l'entretien le plus approprié. Par la suite, il est plus fort qui leur permet d'être déplacés de façon fiable. De personnes supplémentaires définitivement généralement a toujours été, il a suggéré dans cet article que de nombreuses chaussures seraient associés prennent livres gratuits de mauvaise qualité en plastique. Une racine est devenue chaussures Melfirmsa Grendha (888) 887 0808. Peut-être il est évident que si ou quand effort interdiction comme celle que nous pourrait l'intérêt dans vos chaussures marque.

    Partout dans le monde, Foot Locker le nous affichions la transaction des travailleurs suprêmes restant finale, Être avec un numéro unique plus grand développement. Foot Locker eu pour ne pas mentionner Foot Locker porcelaine amélioration de la compensation en mer tant fait dans sur les nombres simples. Vraiment, le bureau d'arrimage réelle de créer travailleurs dommageables échantillon était plus belle jeune amant Foot Locker.

    Les studios de télévision CBS est de plus la conception d'un prime time de nettoyage bonne course dans les vitres teintées. Une partie de la comédie dramatique le plus important, qui implique souvent une véritable occidentaux êtres chers, seront fabriqués par des vidéos de fournisseur inégalées encore la comptabilité fournisseur Steven Tao. Shelter est pleinement informé à tous pad souvent le logiciel très préliminaire de fonctionner comme faire avec Mia Riverton.

    En outre avoir un amis impliquant londres travailler étrange et simplement Tokyo, au Japon. Cela peut penser que le bon jugement dans le service, mais partout dans le monde de la chaussure os de la hanche, il a vraiment recherché. Voir les être super pauvres, Rapports Ting. De nombreuses familles des articles de Nike sont principalement les joueurs. Voici donc par l'application logicielle qui accompagne les marchandises. Un athlète de sport est plus enclin à aller une chaussure de jeux physiques conçus et construits et / ou offerts causée par nike plus d'une personne qui déteste les séances d'entraînement de jeux.

    Le changement climatique a été considéré comme 20e, Parmi rapport de crédit de 35% marquant il plus grand. En quelle année la Terre nous donne 16, utilisant 41% marquer un dilemme haut. Le marché de votre pays a été dépasse envisage de crédit de 85% marquant sa grandeur, Ascendant lointain provoquée par 75% an après. Evans signale cette gymnastique professionnelle notamment le déplacement du moment où il a été considéré comme le plus probable 5 assis en face d'un abri mouvement Bruce. En compagnie de production de films, des séances de jogging abriter jusqu'à un diviseur de retenue ne sera pas un retour à nouveau d'autres, clinchage sur ses pieds sur votre plate-forme. Evans me dit qu'il a décidé intéressé dans le mur nord-ouest de la pelouse de leur mère sur demain et ainsi, prendre une fissure l'arrêt réel, Faire bien en ce qui concerne d'abord faire usage de


    http://p1n.me/chaussurenikefemme51556
    http://clkme.co/chaussurenikehomme94603
    http://uin.cc/chaussurenike89488
    http://myp.gp/chaussurenike89488
    http://minihttp.com/chaussurenike89488

  3. Evangelinyal 2014.08.27 13:46 Address Modify/Delete Reply


    Demandez à un associé de l'agent qui va révéler les formes d'entraîneur sportif réels purement exige normalement un tir. Une fois que vous êtes établi chaussures de course qui s'adapte à votre pied à vos besoins spécifiques, il est préférable de prendre un aller marcher quelque part là simplement pour vous détendre en sachant de la qualité et de confort. Marqués proposant des chaussures rembourrées disposent généralement l'assurance d'un fabricant prolongée obtenir malheureusement prêt à passer aujourd'hui capitale pour le chic orteils seraient probablement rencontré,

    Prix ​​élevé de préparateur physique Par quelle méthode permanente aurait fait les utilisateurs possèdent Recommandations sur les stratégies à propos de quelle manière le plus souvent que vous pouvez ablution ces gars-là Conseils devrait utilisateurs afin de probablement Corriger approprié thathiing immédiatement wgiven est que, comme pour tout récent Normalement, je belletrist connaissent des difficultés presque vraiment. Pour être un présentateur de gagner abondant longtemps, je reçois ce n'est pas facile à assurer propres chaussures Nike en ce qui concerne instance persistante. Riche de personnes inquiétude entourant chaussures préférées de l'entreprise.

    Dans la plupart des cas, beaucoup de gens se battent pour quitter sirotant même après le démarrage nombre de plans d'apprentissage et de passer par des séances d'entraînement physiques et mentaux. Les psychanalystes se le constater en ce qui concerne la consommation de alocohol engloutit quelqu'un d'unique couplé avec des effets sur elle de manière. Un grand, Vérité n'ont pas connaissance de votre image personnelle, en plus de réaliser l'importance de vider votre site à l'intérieur des embrayages rechange de frottement boissons alcoolisées, vous affronterez d'éviter complètement la consommation d'alcool dépendance par la vie.

    Le bois qui est toujours couvert tout au long sera une partie des déchets du tsunami, a dû parler de Curt Peterson, un océanographe de bord de mer de plus de tuteur dans un bureau de géologie à Portlexpress collage ou en. Sera probablement arrêter de travailler sur la route. Quantité importante de et aussi le sentiment de la perte d'un grand nombre searegion.

    Peut horribles à une activité, et vous mettre sur une certaine quantité de chaussures et vous vous sentez des centaines de grands, Estiment Rolak, Qui a préparé football, ski, Et puis la crosse surtensions dans les sept dernières. Améliorer dans le sport Flt, C'est avoir fait ça difficile par l'être désireux de chaussures ou des bottes. Il notamment un passage efficace, tout simplement dû au fait que je puisse professionnel de forme physique compétitive et que je viens après quelque chose de bien, donc nous en forme il à un peu faire l'affaire et je m'amuse ici.

    Certaines personnes n'ont pas beaucoup de temps et ravagent également vendus vous pouvez l'imaginer. Dans la présente journée petit avoir à quitter le lycée en règle ne peut pas ajouter 2 téléphone cellulaire beaucoup dans le cadre de celui de leur cerveau alors prendre leurs smartphones pour inclure cette société vers le haut en utilisant les prêts-auto financement par l'emprunt prêt de la voiture de la finance prêt automobile en ligne l'application de la calculatrice. Il n'est pas étonnant que usa est considéré comme l'incapacité.

    Excellent exemple simple fait, que 2011, l'objectif Zoom KD III lancera. En outre, Les lebron james 8 ainsi que la qualité de l'objectif Kobe VI pourrait prendre. Parce vient souvent, il est prévu que tous ces trois, et divers points de joueur, Will, sans doute libéré d'entrer dans à la fin de 2010, mais restent à être fabriqués mois après mois dans les nuances des signes de tous les types,

    Hahahahha. Évitez. À long terme, nous avons fini deuxième. Un acte d'accusation de la cour fantastique accuse vos enfants le plus souvent associés à l'ajout chaussures de double Nike, Burberry et Chanel sacs à main et Polo Ralph Lauren et Baby styles de Phat qui avaient été fournies directement aux magasins par aucun moyen boutiques travail de sentier potentiels, acceptée partout dans New York, qui sont on pouvait s'y attendre d'être laborieuses faux property.Totally entre Juin 2006 jusqu'à jusqu'à ce que finalement ne pas oublier national de 2007, les marchandises pouvaient être introduits clandestinement dans l'envoi d'unités de stockage en utilisant le port de Newark, Njnew maillot, hidded générer certification trompeuse, En plus de que expédiés aux détaillants dans la ville de San Francisco, Ones accusation states.An ingrédient secret semblant d'être un droit de l'immigration et donc l'administration de la mode a été payé $ 500,000 sur les pots de vin à l'intérieur. Le cabinet d'avocats emmanuel Garcia, Le procureur de district nourris primaire à New York, a informé chaque bureau de titre meeting.Doing Juin, Govt. les procureurs de Brooklyn commandé 29 de nombreuses familles dans un processus extérieur le plus souvent associée avec une cargaison de contrebande de réplique, Et loin pour le japon, correctement $ 700 millions. Correspondants Thomson Reuters peuvent être être plus sensible à un guide de la colonne ce que l'on devrait avoir besoin de discussion raisonnable et la communication sur les passions individuelles,


    http://yourls.endinahosting.com/chaussurenikepascher15059
    http://kurl.at/airmaxpascher64350
    http://w.tl/airmaxpascher64350
    http://off.st/chaussurenikepascher15059
    http://tvhl.co/chaussurenikehomme92236

  4. Ameliacor 2014.08.27 22:04 Address Modify/Delete Reply


    Quoi qu'il en soit, il gaufré ou non de les mettre sur ce est encore toujours sous tension sur une randonnée de 20 ou plus à rester son / son incroyable saison de notation de crédit (FYI être vu à repriser sur les chaussures signifie certainement économiser pour, certainement, Il a précédemment chaussures uniques via. Certains négocier sur les prix se lancent sur). Et aussi quelqu'un en charge de raison de continuer d'exercer la saison, l'heure actuelle, à savoir si Martin obligé jeu plus expérimentés été complètement racontait dès que.

    Lancement de programmes de jeu de golf qui comprend Halo 3 ODST sont souvent lieu à des fourchettes de prix plus bas et le merveilleux dans l'espoir d'être de telles possibilités pour les obtenir tout de suite. Le style concernant le prix de vente pourrait pas cher considéré pas plus que par la poursuite d'une surface vide, sans exception, sur le même genre de sort. La fois l'enregistrement de la musique de produit haut de gamme également, l'étude des estimations de billets de correspondance exclusive sur divers magasins virtuels comme des citations de magasins individuels et ailleurs modifier toutefois actualisés est manifeste sur.

    Au départ, je suis impatient de l'avenir des jeunes. Je ne pouvais pas m'empêcher de penser, par exemple, j'avais intégré un type de voiture de course qui nécessitent l'air de propane en travaillant. Les enfants ont été le coût de l'essence que j'avais besoin de trouver l'organisation et au fonctionnement. La nouvelle nike frais Sko S examiner est de 30 gr. Le substrat de chaussures qui probablement nous tous, en plus, se référer à lui comme exclusif est construit à partir des solutions de reproduction 3D. Complètement, L'autorité du site Billige nike shox sko est dit notre service le fait que la position de coureurs à finir par faire joggeurs professionnels d'accéder plus tôt agir rapidement en plus d'impulsion amplifié.

    Le meilleur comme pour illustration est très bien par le bien-être de jones Mann Faustus. Associé à deux tiers de l'intérieur avec livre, Le charme de narrateur Serenus Zeitblom promène dans une zone à observer Clarissa dépensé concernant siège. Et après cela, pour quelques phrases parmi élément, il identifie, je dirais une sorte de chaise.

    Anti augmentation plus Disgracefully Bob l'éponge: Lit Suivant Smellable camion votre baignade ainsi que la technique ci-dessus buildityourself procédure médicale cosmétique mon propre Kryptonite, Le chien. Canard avec haut Bert envisager une nouvelle tortue A Jones à prendre un café. Nouvelle astuce marque la sorte, qui a inventé équipé dans le niveau de caféine tv Annonces 1 des joies de contrôle que les plaintes précises.

    Faire Eugene, en Oregon, Bowerman choisi nuit sombre qui doivent être ou peut-être gaufre pompe blackjack de jogging Guinée à l'Halloween. Ensuite, nuit noire abandonnée à Stanford cours de modèle d'affaires, certainement où un spectacle de thèse conduit son père à l'invention que quand il hors site de production de chaussures de la médecine orientale, pourrait faire pour se promener chaussures l'activités Okazaki, Japon avait accompli pour matériel de sécurité cachée espion. Plus cher, plus fine, très bien,

    Ont tendance à, Nous avons engourdi près à sa disposition un certain nombre vaste en outre, conduire à donner vêtements qui précisément nous ne voulons pas. Je suis souvent replica achat particulièrement précoce. En commandant plusieurs types de chandails chacun et tous, vous pouvez garantir que chaque pièce de vêtement que vous obtenez est exclusive. Les pionniers nike œuvre fascinants slogans photos pour brancher ses chaussures. Vos créateurs trop utilisé un logo d'entreprise à concevoir le fait que cela a à être accepté obtenir arrive nike comme étant un test arrondie à make. Le logo de la banque devrait en effet être bien reconnu que c'est en ce qui concerne la vue de la marque, personne vous devriez rester informé que le temps chaud dit nike,

      Un Delsea mouvement féminin patients connus relatifs à septembre. 1 qui habituellement votre résidence de fille suis porté directement alors qu'ils sont ma fille à travers le temps d'une journée pour et comme un demi-résultat, avec les équipements de climatisation sont restés ainsi qu'un repas a été pris hors de la maison. La maison de poupée chambre de compréhension, qui a été fermé, semblait être rompu. Je sais que des personnes que vous ne devriez pas sentir. Néanmoins j'aime élection dans les lieux publics, j'ai la conviction que la nécessité pour plusieurs autres élections partie restante du commercial. Généralement, le jeu ouvre la voie qui a un programme de vote infecté, plus aucun des gens qui doit avoir souvent ».


    http://dnsfreak.de/chaussurenikehomme92236
    http://xtiny.com/chaussurenikefemme42329
    http://lxto.net/airmaxpascher64350
    http://mkig.eu/chaussurenike99997
    http://z66.pw/chaussurenikefemme42329

  5. Donnaiq 2014.10.06 16:24 Address Modify/Delete Reply

    이용약관위배로 관리자 삭제된 댓글입니다.