32、Windows内存取证技术深度解析

Windows内存取证技术深度解析

1. Windows GUI子系统分析

1.1 userhandles插件

userhandles 插件用于查看用户对象信息，有三个额外的命令行参数：
- -p PID, --pid=PID ：按进程ID过滤。
- -t TYPE, --type=TYPE ：按句柄类型过滤。
- -F, --free ：包含已释放的句柄。

例如，要查看特定进程拥有的USER对象，可使用 --pid=PID 选项；按对象类型过滤可使用 --type=TYPE_HOOK ；若要包含标记为已释放的句柄信息，使用 --free 。

1.2 事件钩子（Event Hooks）

1.2.1 原理与应用

应用程序可使用事件钩子在特定UI相关事件发生时接收通知。例如，Windows资源管理器在播放声音、开始滚动操作或选择菜单栏中的项目时会触发事件。事件钩子还可用于将DLL加载到任何触发事件的进程中，这是在远程进程上下文中执行代码的快速有效方法。

1.2.2 分析目标

• 确定事件钩子范围：检查RAM中事件钩子安装期间创建的工件，了解受影响的进程和线程，以及正在监视的特定事件。
• 分析意图：通过反汇编事件钩子函数代码，明确钩子的使用目的。

1.2.3 数据结构