内存取证第一步——进程内存Dump与内存镜像Dump

「中睿大学」是中睿天下建设的网络攻防学习、交流与分享平台。聚焦「实战对抗」，基于中睿天下多年一线攻防实战经验，分享行业知识及优秀实践，帮助合作伙伴及用户等提升网络安全监测预警、分析研判、态势感知、攻击溯源以及应急处置等攻防能力。

这次，我们走进「中睿大学」系列课程之“内存取证第一步——进程内存Dump与内存镜像Dump”。

＃内存转储＃

内存转储是将内存所运行的程序中所有数据通过调试器保存到磁盘中的过程。系统崩溃时，将内存中的数据转储保存在转储文件中，供给有关人员进行排错分析。其生成所保存的文件被称作内存转储文件，主要用于程序的调试和内存取证。

＃转储系统内存镜像＃

用于对整个系统内存进行分析，寻找是否存在恶意程序。转储速度依照系统物理内存大小而定，相比单个进程的转储文件更加全面，但与此同时速度也较慢。明确定位到恶意程序时，将其进程内存转储进行分析，更加灵活、快速。

本文主要介绍在Windows与Linux系统下如何提取内存文件，分为单个进程内存的转储与整个系统内存的转储。

1

Windows系统下如何转储内存

进程内存转储

＃任务管理器＃

◆ 简介

任务管理器为Windows系统自带工具，用于提供有关计算机性能的信息，并且显示计算机上所运行的程序和进程详细信息。

◆ 使用方式

打开运行对话框（Win＋R）—＞输入 taskmgr

◆ 环境限制

该工具为Windows系统自带工具
仅支持在Windows环境下使用

◆ 转储进程内存方式

选定目标进程右键，点击创建转储文件即可。

保存路径：

C：Users用户AppDataLocalTemp进程名．DMP

＃ProcessExplorer＃

◆ 简介

一款Windows系统与应用程序监控工具，结合了文件监视和注册表监视两个工具的功能，还增加了多项重要的增强功能，此工具支持64位Windows系统，可以理解为一个增强版的任务管理器，转储进程内存与任务管理器相似。

◆ 下载地址

https：／／docs．microsoft．com／en－us／sysinternals／downloads／process－explorer

◆ 环境限制

ProcessExplore仅可在Windows系统下使用

Windows 7／Windows 2008 以下环境下需要安装补丁KB2758857后才可正常使用

◆ 转储进程内存方式

1． 以管理员身份打开procexp．exe

2． 选中目标进程右键－＞Create Dump－＞Create Full Dump

3． 选择保存位置即可