最近的CTF比赛有关内存取证、机器学习、流量分析的题越来越多，自己又没怎么下来学过，基本都混在简单基础的图片隐写上面，所以开坑整理内存取证的知识点，并选取两道例题来实操。之后也准备对机器学习开坑。常见的内存镜像文件有raw、vmem、dmp、img等，这里就需要用到内存取证工具volatility(例题讲解使用版本为2.6)，当然如果看见有个叫DumpIt的进程，不用去理会，他就是生成内存文件的程
关键词：内核对象、内存映像文件、数据共享Key Words: Kernel Object; Memory-Mapped Files; Data Sharing一．内核对象和地址空间为了更好地理解本文后面的内容，在介绍内存映像文件之前我们先简单回顾一下Windows中内核对象和地址空间的有关概念。在Windows中有各种内核对象，如事件、文件、进程、旗语、互斥体等。内核对象是由系统内核分配管理的一段
转载
2024-03-19 12:26:36
91阅读
内存映射文件可以大大减少操作文件的开销，让程序运行更顺利，使不同进程共享数据变得更容易.一.执行程序 当创建一个线程时， 1.系统只是保留了足够大的对应的.exe文件区域，将.exe文件本身作为物理内存，执行映射，却并未提交;
转载
2024-08-15 08:34:10
118阅读
Linux硬盘和内存镜像取证
在Windows系统上，有winhex等神器，可以方便的完成镜像取证等工作，如何将Linux系统硬盘和内存镜像数据给winhex等进行分析？除了通过dd等工具镜像为文件外，本文将介绍一个方法，将更方便的完成该工作。
准备工作一台被镜像取证的电脑运行的Linux系统一台电脑运行的Windows系统两台电脑要能通过网络通信，并且最好是有线千M网络，因为Linux
转载
2024-04-17 11:22:20
58阅读
本文概述了怎样分析目标计算机的内存镜像的方法，通过这些方法，你可能从目标计算机提取出许多有用的信息，比如：一个内容完整的文件，每个进程中删除的信息以及所有那些曾经本次开机以来所有运行过，然后又被中止的进程。本文力图向大家说明内存分析的概念，本文说介绍的这些技术也能使你能从内存镜像中分析出重要的数据结构，并从物理内存中恢复文件的内容。
Linux物理内存镜像分析（Digital forens
转载
2024-01-09 17:29:48
77阅读
Windows系统程序设计之内存映射 【作者】北极星2003 【来源】看雪技术论坛（bbs.pediy.com） 【时间】2006年8月11日 相信对于大家来说，内存映射技术已经是个很熟悉的技术了。在这里我只是作个总结，希望对那些新手朋友有帮助。 内存映射文件通常有两个用途：一是内存映射磁盘文件，这对于大数据文件的处理比较适合；二是共享内
转载
2024-04-16 11:25:52
49阅读
系统性能提升之道--内存镜像表 提出问题对于一个系统，我们在设计开发时，不得不考虑系统的性能问题，硬件的提速可以缓减系统日益增长的消耗，但我们也不能肆无忌惮的扩展系统而不考虑性能的提高，我们应该重视资源的有限性。为了说明问题，我先举个例子，有两个表如下：Items物料表字段名数据类型描述IDVarchar(50)主键（PK）NameVarchar(50)物料名称CatalogIdVarc
转载
2024-04-29 10:08:43
24阅读
摘要：随着信息技术的发展,计算机与网络成为社会政治,经济,文化生活的重要组成部分,而与此相关的各种计算机犯罪现象也日益突出.计算机取证技术成为打击计算机犯罪的重要手段,是目前计算机界和法学界共同研究,关注的重点. 本文介绍了计算机取证技术的现状和发展情况,比较了现有的计算机取证模式,分析了离线取证模式的不足,指出了在线取证模式研究的必要性.物理内存取证是在线取证的重要环节,也是当今的研究热点.本文
转载
2024-03-22 14:25:45
30阅读
背景：作为信息安全技术人员必须能够掌握内容镜像分析、重要数据恢复、 恶意文件分析等相关技能，利用这些技能我们能够第一时间分析相关恶意文件、 分析蛛丝马迹帮助我们更好的完成应急响应工作。 应急响应阶段题目主要包含：Windows 内存镜像分析，Linux 内存镜像分析， 磁盘文件恢复，恶意程序分析等内容。 项目 1. 内存镜像分析 任务一 Windows 内存镜像分析 你作为 A 公司的应
转载
2024-05-08 22:01:17
515阅读
作者：cscratch在现代的操作系统中，当我们说到内存，往往需要分两部分来讲：物理内存和虚拟内存。从硬件上讲，虚拟空间是CPU内部的寻址空间，位于MMU之前，物理空间是总线上的寻址空间，是经过MMU转换之后的空间。 从逻辑上来讲，虚拟内存和物理内存之间存在着一对一、多对一的映射关系。一对一的关系很好理解，就是有一块物理内存，
转载
2024-05-15 09:47:01
36阅读
这个是我的实验报告，我感觉写的还挺用心的hhhhh有需要实验出现的靶机或者工具的可以留言一、实验目的了解内存转储方法，并能利用相关工具生成内存转储文件。掌握计算机取证工具DumpIt的使用方法，并用其实现Windows主机的物理内存转储。掌握Volatility内存取证的方法并进行实践，能够利用Volatility进行内存镜像进行取证分析，通过获取内核数据结构，使用插件获取内存的详细情况以及系统的
转载
2024-03-10 19:55:17
161阅读
rbd-mirror 技术内幕 （这篇文章在微信号发过，搬过来）众所周知，ceph在Jewel版本发布的时候，release了一个块存储的重要特性，那就是rbd mirroring。rbd mirroring 是一种两个集群之间，异步镜像的机制。通过一个rbd-mirror的服务，依赖于image的journaling特性，来实现集群间的crash-consistent的image复制。 
转载
2024-05-09 16:39:44
109阅读
内存访问分为两种体系结构：一致性内存访问（UMA）和非一致性内存访问（NUMA）。NUMA指CPU对不同内存单元的访问时间可能不一样，因而这些物理内存被划分为几个节点，每个节点里的内存访问时间一致，NUMA体系结构主要存在大型机器、alpha等，嵌入式的基本都是UMA。UMA也使用了节点概念，只是永远都只有1个节点。本文讲的是UMA模型的嵌入式平台。每个节点又将物理内存划分为3个管理区，在x86机
转载
2024-05-28 12:43:38
0阅读
方案二：在内存中安装系统在内存中安装系统是操作最为复杂的，经过我们多次验证，目前要想成功地将系统安装在内存中，加载进内存的镜像不得超过2GB。这就带来了很多问题，因此这一个部分我们将分为Windows 7版内存系统和Windows XP版内存系统两个部分来分析。必备工具：FiraDisk驱动程序、Grub4dos引导程序、Windows 7安装光盘或Windows XP安装光盘、Windows 7
转载
2024-04-06 10:25:30
123阅读
主要是工作中发现后台项目有时候话boom，看日志也会偶尔看到内存不足的报错。为了定位原因改善由于内存问题引起的性能问题特做个总结给大家参考。主要分了三个阶段做这个事情。由于截图及脚本涉及业务省略，有需要欢迎留言交流。 &
转载
2024-04-27 15:38:30
73阅读
技术特征：1.一种基于linux缺页机制的内存镜像方法，其特征在于，主内存设备和镜像内存设备各自含有cpu以及存储外部资源；所述内存镜像方法包括以下步骤：主内存设备预留权限为只读的内存空间；在所述主内存设备用户程序和数据拷贝到所述内存空间时，进行缺页异常检测；所述缺页异常检测驱动所述主内存设备将数据写到所述内存物理地址并将所述主内存设备的数据传输到所述镜像内存设备。2.根据权利要求1所述的基于li
转载
2024-05-13 08:57:12
125阅读
原标题：实战演练必修课|进程内存Dump与内存镜像Dump常用工具「中睿大学」是中睿天下建设的网络攻防学习、交流与分享平台。聚焦「实战对抗」，基于中睿天下多年一线攻防实战经验，分享行业知识及优秀实践，帮助合作伙伴及用户等提升网络安全监测预警、分析研判、态势感知、攻击溯源以及应急处置等攻防能力。这次，我们走进「中睿大学」系列课程之“内存取证第一步——进程内存Dump与内存镜像Dump”。#内存转储#
转载
2024-05-07 21:37:36
267阅读
1、首先下载python，然后解压安装完成后，设置环境变量。2、根据自己电脑的系统下载volatility，网址：http://www.volatilityfoundation.org/releases，然后解压即可。3、用DumpIt工具（是内存副本获取工具）生成主机的物理内存镜像。解压DumpIt后，双击DumpIt.exe可执行程序，并在提示问题后面输入y，等待几分钟时间即可在当前目录下生成
转载
2024-05-11 10:56:38
838阅读
图；[0053] 图4为本发明的实施例中update_iter函数的调用关系图；[0054] 图5为本发明的实施例中update_iter在内存中的内容；[0055] 图6为本发明的实施例中进程结构关系图；[0056] 图7为本发明的实施例中模块结构关系图；[0057] 图8为本发明中64位小页模式下地址转换示意图；[0058] 图9为本发明中64位大页模式下地址转换示意图；[0059] 图10为
转载
2024-05-13 20:13:12
66阅读
上期回顾RabbitMQ集群中节点包括内存节点、磁盘节点。内存节点就是将所有数据放在内存，磁盘节点将数据放在磁盘上。如果在投递消息时，打开了消息的持久化，那么即使是内存节点，数据还是安全的放在磁盘。那么内存节点的性能只能体现在资源管理上，比如增加或删除队列（queue），虚拟主机（vrtual hosts），交换机（exchange）等，发送和接受message速度同磁盘节点一样。一个集群至少要有
转载
2024-02-14 21:23:23
43阅读
