windows tools om memory uit te lezen

**libris** · 17-04-2009, 12:29 PM

Mmm.. ik zat een te zoeken naar goede Windows tools , het liefst statisch om werkgeheugen goed te kunnen analyseren, ik kwam wel van systernals MEMCHECK.EXE tegen, hier kan je perfect het geheugen mee bekijken.. maar is niet echt makkelijk aangezien je de locatie moet opgeven van waar je naartueo wilt gaan.

Ik vroeg me af of jullie goede tools hadden, ik heb weleens een dump van geheugen in Winhex ingeladen.. dat werkt ook wel. maar ik zoek een tool voor live onderzoek

groeten

**Nielson** · 22-04-2009, 10:10 AM

Zoek maar eens op google naar MDD (Mantech DD).
Daarmee kun je gewoon een image maken van je memory, en die vervolgens analyseren met een tooltje zoals scalpel

Als ik me niet vergis zit deze ook standaard in de Helix live cd.

**libris** · 22-04-2009, 11:57 AM

ja mdd ken ik ..

maar ik zoek voor LIVE onderzoek een tool om direct memory te onderzoeken dus zonder van te voren een kopie te maken.

**themaster** · 22-04-2009, 12:28 PM

Uhm waarom zou je dat willen ??
A. je vernield enorm veel mogelijk belangrijk bewijsmateriaal.
B. Het geheugen verander om de haverklap dus je kunt beter een image/snaphot maken dan direct klote

**libris** · 22-04-2009, 12:34 PM

Bij een live onderzoek verander je toch al veel in het memory dusja... kun je niet verkomen

**themaster** · 22-04-2009, 01:08 PM

Nee okee maar liever weinig verandering dan iedere keer dat je een tool start een deel van je bewijs mogelijk weg :P
Nee ik maak wel gewoon lekker ddtjes if needed en onderzoek die kan ik nog wat dingen proberen zonder risico

**libris** · 22-04-2009, 01:23 PM

haha onderzoek op een dood systeem is niet altijd mogelijk, dat is juist het punt.

**themaster** · 22-04-2009, 01:35 PM

Nee okee maar met dd kun je ook van een draaiend systeem een image maken.
Heeft een klasgenoot van me zelfs met voledige draaiende servers gedaan gewoon imagen terwijl alles nog draait :P

**libris** · 22-04-2009, 02:00 PM

ja oke, maar Windows heeft ervoor gezorgt dat bijvoorbeeld dd geen image meer kan maken van het memory. en ik kan het memory niet uitlezen als het systeem uit staat, en hier staan toch belangrijke dingen in.

Dus mijn vraag blijft nog steeds, zijn er andere tools waarmee je op een draaiend systeem het geheugen kan bekijken?