for(ensik){blog;}

Es hat mich sehr überrascht, zum ersten Mal den Inhalt des Arbeitsspeichers einen Reboot überstehen zu sehen. Farmer und Venema sind dabei nicht die ersten, die dieses Phänomen beschreiben. Hier sind noch zwei interessante Artikel zu diesem Thema.

Von Andreas Schuster am 25.04.2006, 08:30 Uhr | Permalink

Wenn Sie den ersten Teil dieser Anleitung durchgearbeitet haben, dann fragen Sie sich vielleicht, ob es nicht auch einen einfacheren Weg gibt, die Programmdatei wiederherzustellen. Den gibt es, natürlich.

Von Andreas Schuster am 17.04.2006, 18:15 Uhr | Permalink

Am Wochenende hat Harlan Carvey zwei neue Programme zur Analyse von Windows 2000 Speicherabbildern veröffentlicht.

Von Andreas Schuster am 10.04.2006, 20:45 Uhr | Permalink

In ihrem Buch Forensic Discover sprechen Dan Farmer und Wietse Venema über die Persistenz von Inhalten des Hauptspeichers. Ich hatte derartiges noch nicht beobachten können - bis ich mir die Speicherabbilder der DFRWS Memory Analysis Challenge genauer angesehen habe.

Von Andreas Schuster am 05.04.2006, 08:30 Uhr | Permalink

Aus einem Speicherabbild lassen sich auch die Programmdateien der laufenden Prozesse rekonstruieren. Damit lassen sich selbst auf der Festplatte nicht auffindbare Programme schnell mit einem Virenscanner untersuchen. Dieser Artikel beschreibt Schritt für Schritt die Rekonstruktion.

Von Andreas Schuster am 03.04.2006, 07:30 Uhr | Permalink

Für manche Untersuchungen mag es hilfreich sein, nur den Speicher eines einzelnen Prozesses vorliegen zu haben. Bei einem mit "dd" erzeugten Abbild des physischen Speichers ist die Rekonstruktion mit wenig Aufwand möglich.

Von Andreas Schuster am 02.04.2006, 11:00 Uhr | Permalink

Die Version 0.2.02 des PTfinder erlaubt mit einer neuen Option die Veränderung der Schrittweite bei der Suche nach Prozessen und Threads. Für Windows 2000 lässt sich damit die Suchgeschwindigkeit verdoppeln.

Von Andreas Schuster am 25.03.2006, 22:45 Uhr | Permalink

Aufgrund einiger Nachfragen veröffentliche als Ergänzung zur Beschreibung des DMP Formates entsprechenden Templates für WinHex und den 010 Editor.

Von Andreas Schuster am 23.03.2006, 19:10 Uhr | Permalink

Durch Zufall bin ich auf drei Patente gestoßen, die sich im Kern zwar auf Debugger beziehen, aber auch Auswirkungen auf die Entwicklung von Programmen zur Speicheranalyse haben könnten.

Von Andreas Schuster am 21.03.2006, 07:00 Uhr | Permalink

Microsofts Debugger und der NT-Kernel erzeugen Speicherabbilder in einem proprietären Format. In diesem Beitrag beschreibe ich den Aufbau der DMP Dateien und zeige, wie man eine gegebene physische Adresse im Speicherabbild lokalisiert.

Von Andreas Schuster am 19.03.2006, 18:10 Uhr | Permalink