for(ensik){blog;}

Dieser kurze Beitrag enthält wieder eine Ergänzung für die Datei magic(5), mit deren Hilfe das Dienstprogramm file(1) Speicherabbilder im Microsoft Crashdump-Format identifizieren kann. Auf diese Weise lässt sich auch leicht erkennen, ob die Datei pagefile.sys ein Speicherabbild enthält.

Von Andreas Schuster am 28.06.2007, 08:00 Uhr | Permalink

Für meinen Vortrag auf der FIRST Conference 2007 habe ich einen kleinen Spickzettel für die Analyse des Arbeitsspeichers von Microsoft Windows XP SP2 angefertigt. Die vier Seiten enthalten in Kurzform die wichtigsten Kommandos des Microsoft-Debuggers und einiger Forensik-Programme sowie Datenstrukturen und Variablennamen. Der Spickzettel ist hier als PDF erhältlich.

Von Andreas Schuster am 27.06.2007, 08:00 Uhr | Permalink