Dieser Artikel listet die Struktur _ETHREAD von Windows XP mit Service Pack 2. Die Daten dienen als Grundlage zur forensischen Analyse des Arbeitsspeichers. Sie wurden mit dem Windows-Kerneldebugger und ntoskrnl.exe Version 5.1.2600.2180 gewonnen. Die Symboldatei stammt von Microsofts Symbol Server.
Dieser Artikel listet die Struktur _EPROCESS von Microsoft Windows XP mit Service Pack 2. Die Daten dienen als Grundlage zur forensischen Analyse des Arbeitsspeichers. Sie wurden mit dem Windows-Kerneldebugger und ntoskrnl.exe Version 5.1.2600.2180 gewonnen. Die Symboldatei stammt von Microsofts Symbol Server.
Dieser Artikel listet die Struktur _ETHREAD von Windows XP. Die Daten dienen als Grundlage zur forensischen Analyse des Arbeitsspeichers. Sie wurden mit dem Windows-Kerneldebugger und ntoskrnl.exe Version 5.1.2600.0 gewonnen. Die Symboldatei stammt von Microsofts Symbol Server.
Dieser Artikel listet die Struktur _EPROCESS von Microsoft Windows XP. Die Daten dienen als Grundlage zur forensischen Analyse des Arbeitsspeichers. Sie wurden mit dem Windows-Kerneldebugger und ntoskrnl.exe Version 5.1.2600.0 gewonnen. Die Symboldatei stammt von Microsofts Symbol Server.
Jobs fassen eine Anzahl Prozesse zusammen. Dem Job-Objekt sind dabei kaum mehr Informationen als eine Liste aller zugeordneten Prozesse und einige Accounting-Informationen zu entnehmen. Insbesondere enthält es keine Informationen zu Start- und Endzeitpunkt. Für eine forensische Analyse des Arbeitsspeichers halte ich Jobs deswegen nicht für bedeutsam; die in einem Job zusammengefassten Prozesse und ihre Threads enthalten mehr und interessantere Informationen.
Der diesjährige Digital Forensics Research Workshop in New Orleans förderte mit seiner Memory Challenge die Entwicklung von Programmen zur Analyse von Speicherabbildern. Eines der beiden ausgezeichneten Programme ist MemParser von Chris Betz.
(Read this article in English.)
Der Windows-Kernel legt für jeden Prozess und jeden Thread ein gesondertes Objekt in seinem Speicher an. Diese Objekte lassen sich aus einem Speicherabbild extrahieren, wobei sogar bereits beendete Prozesse und Threads nachgewiesen werden können. Die Daten enthalten auch Zeitstempel.
Dieser Artikel listet die Struktur _ETHREAD von Windows 2000. Die Daten wurden mit dem Windows-Kerneldebugger und ntoskrnl.exe Version 5.0.2195.7045 gewonnen. Sie dienen als Grundlage zur forensischen Analyse des Arbeitsspeichers.
Dieses Blog ist ein Projekt von:
Andreas Schuster
Im Äuelchen 45
D-53177 Bonn
impressum@forensikblog.de
Copyright © 2005-2010 by
Andreas Schuster
Alle Rechte vorbehalten.