版权声明:本文为博主原创文章,未经博主允许不得转载。 https://blog.csdn.net/shakeyin1998/article/details/81129629
今天学习的是从内存当中找到没有保存的文件
工具 Windbg
使用Windbg打开系统保存的dmp文件
1 寻找文件 s-u 开始地址 寻找长度 字符名
2 .writemem 命令将内存当中的文件进行dump出 .writemem 保存文件路径 起始地址 保存长度
3 因为发现dump的是文本文件,需要修改其文件头部 改为ff fe 使用 winhex 进行修改 或者在windbg当中 使用
eb 内存地址 指定字符 进行修改 可以得到。