利用Volatility查找系统中的恶意DLL

昨天看到@白河·愁 发了《Linux下内存取证工具Volatility的使用》,今天恰好看到一篇Volatility利用的文章,文章不长,就翻译了过来。

原文地址:http://carnal0wnage.attackresearch.com/2014/02/finding-malicious-dlls-with-volatility.html

译文:

Colin和我最近正致力于研究一个内存镜像,需要找到由svchost.exe加载的所有DLL,选择使用大家熟知的内存分析工具 — Volatility。Volatility无法通过进程名查看加载的dll,而是通过指定进程的PID来将所有已加载的dll列出。但是,如果系统中有多个同名的进程(如svchost.exe),我们可以用以类似图1所示的命令进行查找:

不过这个方法在我们的使用过程中不怎么好用,因此决定研究一下Volatility的源码,对其做一些小的调整以使其适应我们的需求。经过研究,我们修改了能最终影响dlllist的模块taskmods.py。未修改之前,用-h选项查看dlllist插件的帮助信息,会列出其支持的所有选项,如offset、pid等,如图2所示:

而我们修改过的taskmods.py模块为其添加了一个新的选项,即通过进程名来添加一个进程或进程列表,如图3:

现在我们只需要简单地给出svchost.exe进程名,就可以得到由该进程加载的DLL文件列表。如果系统中运行着非标准svchost.exe进程,该命令同样会将其显示出来,命令如下:

vol.py -f 7re-912d4ad7.vmem --profileWin7SP1x64 dlllist -n svchost.exe

得到如下输出:

相信还有其它的方法可以达到相同的目的,但本文提到的这种方法在我们的研究过程中工作良好,因此将其共享出来,各位读者可以通过以下地址获取该模块:

https://github.com/AttackResearch/randmon/blob/master/volatility_plugins/taskmods.py

只需要在volatility 安装目录的插件目录$VOLATILITYHOME/volatility/plugins中用新的taskmods.py文件覆盖原来的文件,即可完成安装。

我们在Windows XP 与 Windows 7中测试了volatility2.2, 2.3, 2.3.1,均未发现问题,可以放心使用。

原文发布于微信公众号 - FreeBuf(freebuf)

原文发表时间:2014-02-26

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏PHP在线

PHP中9大缓存技术总结

[导读] 1、全页面静态化缓存也就是将页面全部生成html静态页面,用户访问时直接访问的静态页面,而不会去走php服务器解析的流程。此种方式,在CMS系统中比...

33450
来自专栏北京马哥教育

原创投稿 | Zabbix的编译安装并发送通知邮件

1.写在前面 本文主要介绍的是zabbix的编译安装过程,包含它的基础环境LNMP,虽然zabbix官方一般推荐的环境是LAMP。以及实现简单的监控任务,在发...

39680
来自专栏小白安全

小白博客 linux目录结构

初学Linux,首先需要弄清Linux 标准目录结构 root --- 启动 Linux 时使用的一些核心文件。如操作系统 内核 、引导程序 Grub 等...

34960
来自专栏进击的君君的前端之路

如何发布npm包

13620
来自专栏desperate633

设计模式之外观模式(Facade Pattern)外观模式的优缺点

外观模式外部访问内部复杂代码的一个接口,举个例子,我们知道打开一台电脑很简单,只要按开机键,但实际上在后台我们看不到的地方,计算机进行了很多复杂的工作,比如,c...

11930
来自专栏技术博文

php缓存技术

1、全页面静态化缓存 也就是将页面全部生成html静态页面,用户访问时直接访问的静态页面,而不会去走php服务器解析的流程。此种方式,在CMS系 统中比较常见,...

1.4K60
来自专栏PhpZendo

Apache Kafka 在 Windows 系统上设置与运行教程

手把手教你在 Windows 系统安装运行 Apache Zookeeper 和 Apache Kafka 服务。

28820
来自专栏Jerry的SAP技术分享

如何在ubuntu上安装virtualbox的driver module vboxdrv

干净的ubuntu安装完毕之后是没有vboxdrv这个driver module的。

38140
来自专栏jiajia_deng

正确处理安装程序提示 “这个程序可能安装不正确” 问题

13220
来自专栏進无尽的文章

Java工具篇| Mac上Eclipse和Tomcat的安装和使用

解压下载包后对原来的文件夹重命名为ApacheTomcat,放到/Users/计算机名/Library/目录下(Library也叫资源库)

47230

扫码关注云+社区

领取腾讯云代金券