用于从内存中将恶意软件 PE 文件转储到磁盘进行分析的 Windows 工具。
Process Dump 是一个 Windows 逆向工程命令行工具,用于将恶意软件内存组件转储到磁盘进行分析。通常,恶意软件文件在执行之前会被打包和混淆,以避免 AV 扫描程序,但一旦这些文件被执行,它们通常会在内存中解包或注入一个清晰的恶意代码版本。在分析恶意软件时,恶意软件研究人员的一项常见任务是将这种解包后的代码从内存中转储到磁盘,然后使用 AV 产品进行扫描或使用静态分析工具(如 IDA)进行分析。
Process Dump 适用于 32 位和 64 位的 Windows 操作系统,可以从特定进程或当前运行的所有进程中提取内存组件。Process Dump 支持创建和使用清洁哈希数据库,这样就可以跳过诸如 kernel32.dll 等所有清洁文件的提取。其主要功能包括: * 提取特定进程或所有进程中的代码。 * 查找并提取未正确加载到进程中的隐藏模块。 * 查找并提取即使不与 PE 文件关联的松散代码段。它会为这些代码段生成 PE 头和导入表。 * 使用积极的方法重构导入。 * 可以在紧密的 Dump 监视器模式下运行 ('-closemon'),在这种模式下,进程将在终止之前暂停并提取。 * 多线程,因此在提取所有运行中的进程时,速度会很快。 * 可以生成清洁哈希数据库。在机器被恶意软件感染之前生成此数据库,这样 Process Dump 只会提取新的恶意软件组件。
我正在我的网站上维护一个官方编译版本:https://split-code.com/processdump.html # 安装 你可以从这里下载 Process Dump 的最新编译版本:* https://github.com/glmcdona/Process-Dump/releases # 编译源代码 此处是专为 Visual Studio 2019 设计的,并且支持免费的社区版。只需使用 VS2019 打开项目文件并编译即可,应该很简单吧! # 命令行参数 Process dump 可用于从内存中转储所有未知代码 ('-system' 标志)、转储特定进程,或以监控模式运行,以转储所有进程
暂无开放 Issues，或尚未同步最近议题。