Windows内存dump

天地之间，物各有主…

#include <stdio.h>
#include <wchar.h>
#include <inttypes.h>
#include <windows.h>
#include <tlhelp32.h>
#include <shlwapi.h>typedef struct _dump_t {uint64_t addr;uint32_t size;uint32_t state;uint32_t type;uint32_t protect;
} dump_t;HANDLE open_process(uint32_t pid)
{HANDLE process_handle = OpenProcess(PROCESS_ALL_ACCESS, FALSE, pid);if(process_handle == NULL) {printf("[-] printf getting access to process: %ld!\n", GetLastError());}return process_handle;
}int dump(uint32_t pid, const wchar_t *filepath,uintptr_t addr, uint32_t length)
{SYSTEM_INFO si; MEMORY_BASIC_INFORMATION mbi; DWORD written_bytes;HANDLE process_handle, file_handle; DWORD_PTR read_bytes;uint8_t buf[0x1000]; dump_t d;GetSystemInfo(&si);file_handle = CreateFileW(filepath, GENERIC_WRITE, 0,NULL, CREATE_ALWAYS, 0, NULL);if(file_handle == NULL) {printf("[-] printf opening dump filepath: %S\n", filepath);}process_handle = open_process(pid);uint8_t *ptr = si.lpMinimumApplicationAddress;while (ptr < (uint8_t *) si.lpMaximumApplicationAddress) {if(VirtualQueryEx(process_handle, ptr, &mbi, sizeof(mbi)) == FALSE) {ptr += 0x1000;continue;}if((mbi.State & MEM_COMMIT) == 0 || (mbi.Protect & PAGE_GUARD) != 0 ||(mbi.Type & (MEM_IMAGE | MEM_MAPPED | MEM_PRIVATE)) == 0) {ptr += mbi.RegionSize;continue;}d.addr = (uintptr_t) ptr;d.size = mbi.RegionSize;d.state = mbi.State;d.type = mbi.Type;d.protect = mbi.Protect;// If --dump-block is specified, restrict to a particular block.if(addr != 0 && length != 0 && (d.addr < addr || d.addr > addr + length)) {ptr += 0x1000;continue;}WriteFile(file_handle, &d, sizeof(d), &written_bytes, NULL);for (uint8_t *end = ptr + mbi.RegionSize; ptr < end; ptr += 0x1000) {if(ReadProcessMemory(process_handle, ptr, buf, sizeof(buf),&read_bytes) == FALSE || read_bytes != sizeof(buf)) {printf("[-] Unable to read a full page?!");}WriteFile(file_handle, buf, sizeof(buf), &written_bytes, NULL);}}CloseHandle(process_handle);CloseHandle(file_handle);return 0;
}int main(){int pid;scanf("%d",&pid);const wchar_t *file_name = "uuu.dmp";uintptr_t start_addr = 0x40000;uint32_t length = 0x200;dump(pid, file_name, start_addr, length);return 0;
}

Windows内存dump相关推荐

jstat 内存泄漏_基于Java内存dump文件分析解决内存泄漏问题
概述本文介绍一次解决现场java内存泄漏问题的经过,希望能提供后续遇到类似情况的读者一点思路. 生产环境发现的问题问题生产环境运维人员反馈,服务器(windows系统)卡死,相关的服务都运行异常, ...
Windows内存管理学习笔记（一）—— 线性地址的管理
Windows内存管理学习笔记(一)-- 线性地址的管理用户空间线性地址的管理实验一:理解用户空间线性地址管理 Private Memory 实验二:理解Private Memory 堆实验三: ...
利用Volatility进行Windows内存取证分析(一)：初体验
简介承接上文,上文中使用cuckoo沙箱的时候提到过,分析恶意代码的时候,首先利用沙箱做粗略分析,然后可以目标程序进行动态分析(OD,Windbg调试)或者静态分析(IDA静态反汇编).如果嫌每次逆 ...
windows内存泄露定位方法
windows内存泄露定位方法内存泄露(Memory Leak)是C/C++程序经常遇到的一个棘手问题.简单来说,内存泄露就是没有释放本来应该释放的内存. 可以把解决内存泄露问题分成两步,第一步是定 ...
Windows下dump文件的生成
Windows下Dump文件分为两大类,内核模式Dump和用户模式Dump.内核模式Dump是操作系统创建的崩溃转储,最经典的就是系统蓝屏,这时候会自动创建内核模式的Dump.用户模式Dump进一步可 ...
数字取证技术：Windows内存信息提取
数字取证技术 :Windows内存信息提取.后面会花一部分时间,写一些数字取证相关的文章.攻击技术贴多如牛毛,眼下不管是网安,还是安全厂商, 欠缺的是对取证技术的研究. 大致想了一下,主要会从以下几个 ...
Windows内存管理和linux内存管理
windows内存管理 windows 内存管理方式主要分为:页式管理,段式管理,段页式管理. 页式管理的基本原理是将各进程的虚拟空间划分为若干个长度相等的页:页式管理把内存空间按照页的大小划分成片或 ...
windows内存管理和API函数
windows内存管理知识: 1.分段或分页内存管理 2.物理地址和虚拟地址,虚拟地址空间. 3.虚拟内存布局,内存分工,堆,栈. 4.内存存取权限. 5.标准C内存管理函数与windows内存管理A ...
Windows内存管理学习笔记（三）—— 无处不在的缺页异常
Windows内存管理学习笔记(三)-- 无处不在的缺页异常缺页异常实验一:设置虚拟内存无处不在的缺页位于页面文件保留与提交的误区实验二:理解缺页异常 EXECUTE_WRITECOPY ...

Windows内存dump

Windows内存dump相关推荐

最新文章

热门文章