Запись мини-дампа процесса на Ассемблере
07.02.2024 | Категория: Образ мышления: Assembler | Автор: ManHunter
Дампы или мини-дампы создаются обычно в случае аварийного падения процесса или системы. С помощью специальных программ по дампам можно восстановить примерное окружение, на котором произошел сбой, проанализировать его и установить процесс или код, который привел к критическому сбою.Для создания дампов памяти есть официально документированная функция MiniDumpWriteDump из динамической библиотеки dbghelp.dll. C ее помощью можно точно настроить, какие данные должны попасть в создаваемый дамп. Вызывается она примерно так (вариант для текущего процесса):
Code (Assembler) : Убрать нумерацию
- ; Создать файл для записи дампа
- invoke CreateFile,fname,GENERIC_WRITE,\
- FILE_SHARE_WRITE,0,CREATE_NEW,\
- FILE_ATTRIBUTE_ARCHIVE,0
- mov [desc],eax
- ; Получить ID текущего процесса
- invoke GetCurrentProcessId
- mov ebx,eax
- invoke GetCurrentProcess
- MiniDumpNormal = 0x00000000
- ; Сделать дамп
- invoke MiniDumpWriteDump,eax,ebx,[desc],MiniDumpNormal,0,0,0
- ; Закрыть файл
- invoke CloseHandle,[desc]
rundll32.exe C:\windows\System32\comsvcs.dll, MiniDump <PID> dump.dmp fullДо некоторых пор таким способом можно было сохранить дамп процесса lsass.exe и затем при помощи какого-нибудь инструмента типа Mimikatz вытащить из него пароли учетных записей пользователей компьютера.
Читать статью целиком »
Просмотров: 285 | Комментариев: 0
Материалы, опубликованные на этом сайте, не рекомендуются к просмотру лицам в возрасте до 16 лет без присутствия взрослых.
Вам помог этот сайт?
Поблагодарили 35,184 раза
Поблагодарили 35,184 раза
Буду очень благодарен, если размеcтите мою кнопочку:
 |
Яндекс ИКС: 360 |
 |
 |