During an incident, you suspect malware is running. What memory acquisition tool could you use on a 64-bit Windows system?
4 phương ánCó giải thích
Các phương án trả lời
Chọn một phương ánLời giảiChọn phương án để mở
Đáp án đúng: "Win64dd". Win32dd và Win64dd là cặp công cụ thu bộ nhớ (memory acquisition) chạy từ dòng lệnh, dùng một driver chế độ nhân để đọc toàn bộ RAM vật lý rồi ghi ra tệp dạng raw hoặc crash dump cho Volatility hay WinDbg phân tích; trên Windows 64 bit phải dùng bản 64 bit vì driver phải khớp kiến trúc nhân và cần truy cập được vùng địa chỉ vật lý lớn hơn 4 GB. "Win32dd" là bản dành cho Windows 32 bit, chạy trên hệ 64 bit sẽ không nạp được driver nên không thu được bộ nhớ đầy đủ. "Task Manager" chỉ liệt kê tiến trình và có thể tạo dump của riêng một tiến trình, không chụp toàn bộ RAM vật lý. "Registry Editor" chỉ để xem và sửa registry, không có chức năng thu bộ nhớ.
Cùng phần 6
What does memory forensics analyze?Có lời giảiCâu hỏiWhat is the significance of OllyDbg's "Search for > All referenced text strings" feature in malware analysis?Có lời giảiCâu hỏiIn the event of an exception, when does the debugger receive a second chance to handle it?Có lời giảiCâu hỏiCả 31 câu của chủ đề31 câu
Xuất hiện trong 1 bộ đề
Đi tiếp từ đây