IAM302 - Phần 6: Gỡ lỗi và điều tra bộ nhớ

Bộ nhớ RAM giữ những thứ ổ đĩa không có: tiến trình đã tự gỡ khỏi danh sách, đoạn mã được tiêm vào tiến trình khác, khoá giải mã. Volatility đọc một bản chụp bộ nhớ bằng các plugin như pslist, psscan hay malfind, và so pslist với psscan làm lộ tiến trình bị giấu. Khi cần xem mẫu chạy từng lệnh, người phân tích mở trình gỡ lỗi: đặt điểm dừng phần mềm bằng lệnh INT 3 hay điểm dừng phần cứng tại lời gọi API đáng ngờ, xem thanh ghi và ngăn xếp ngay lúc đó, sửa cờ để rẽ sang nhánh khác. OllyDbg làm việc ở chế độ người dùng; theo dõi rootkit hay trình điều khiển thì cần gỡ lỗi chế độ nhân, khó dựng hơn vì một lỗi là treo cả hệ điều hành nhưng thấy được tầng sâu nhất. Với lab dùng máy ảo, chỉ cần tạm dừng máy là có ngay tệp bộ nhớ. Các mẫu bọc thép ở Phần 5 thường lộ mặt rõ nhất trong bộ nhớ.