内核中实现进程内存转储方法探讨.pdfVIP

多数ARK反内核工具中都存在驱动级别的内存转存功能，该功能可以将应用层中运行进程的内存镜像转存

到特定目录下，内存转存功能在应对加壳程序的分析尤为重要。当进程在内存中后，我们可以很容易

的将内存镜像导出，从而更好的对样本进行分析。当然某些加密壳可能无效但绝大多数情况下是可以被转

存的。

在上一篇文章《驱动开发:内核R3与R0内存映射拷贝》介绍了式SafeCopyMemory_R3_to_R0可以将

应用层进程的内存空间映射到内核中。要实现内存转储功能我们还是需要使用这个映射函数，只是需要

在此函数上增加一些功能而已。

在实现转存之前，需要得到两个东西，进程内模块址以及模块长度这两个参数是必不可少的，至于内

核中如何得到指定进程的模块数据，在很早之前的文章《驱动开发:内核中枚举进线程与模块》中有详细的参

考方法，这里就在此基础之上实现一个简单的进程模块遍历功能。

如下代码中使用的就是枚举进程

PEB结构得到更多参数的具体实现,如果不懂得可以研读《驱动开发:内核

通过PEB得到进程参数》这篇文章此处不再赘述。

#include

ntddk.h#

include

windef.h

//结构体

typedefst