s
Вобщем суть в чем. У volatility есть raw2dmp (как то так) и он может minidump сделать. Но там нет опции PID. И результат по размеоу оказывается такого же размера как и вся физическая память
Size: a a a
2019 September 12
AS
s0i37
Всем привет. Ни кто не в курсе, формат minidump может содержать в себе несколько адресных пространств?
Привет
AS
Ты говоришь про кернел дамп?
AS
И именно минидамп?
s
да
AS
Не Фулл, не автоматик
s
Там адреса и ядерные и пользовательское
AN
Что то я припоминаю что я как-то указывал дамп какого процесса сделать. Ты походу дамп ядра делаешь
s
Но в vol нельзя ни как сделать пид
JG
И именно минидамп?
Насколько я помню, с точки зрения формата разницы нет, только содержимое разное
AS
Если фулл кернел, то почти все там есть (то что резидентно в памяти было)
AS
Насколько я помню, с точки зрения формата разницы нет, только содержимое разное
Есть разница
JG
Там есть два формата - page dump, и process dump
s
Если фулл кернел, то почти все там есть (то что резидентно в памяти было)
я хочу тоже верить что есть. Тогда как свитчнутся на другой АП
JG
У них разный magic
AS
Если минидамп, то там пусто, там сохраняются только ошметки для текущего контекста
AS
У них разный magic
Да
s
Если минидамп, то там пусто, там сохраняются только ошметки для текущего контекста
Не не там полный дамп
AS
Ток если мини и фулл - по-разному память читается
JG
s0i37
Не не там полный дамп
Смотри первын несколько байт