reverse-engineering - 转储浏览器的插件内存

Question

如何转储在浏览器中运行的插件的内存。例如，我想分析在 chrome 中运行的 acrobat reader 的内存。

提前致谢。

Answer 1

通常，在大多数常见浏览器的情况下，插件都是加载到浏览器进程中的动态库。因此，您需要使用调试器附加到该进程，然后转到作为插件的模块。

对于 chrome 和 pdf 阅读器：Chrome 为几乎所有内容生成了一个新进程，因此首先您需要在浏览器中加载任何 pdf，以便加载插件。然后，您可以通过 chrome 中的集成任务管理器找到该选项卡的匹配 PID。当您使用调试器附加到此进程时，您应该看到模块“pdf”，它是位于 chrome 安装目录中的 dll，我相信它是 acrobat reader 的修改版本。

Answer 2

取决于您所说的内存转储是什么意思，以及您希望用它做什么。有诸如Memoryze之类的工具，您可以转储正在运行的进程的内存。我已经在法医上使用过它，但我从来没有尝试过把所说的转储扔到 IDA 中。

您还可以附加一个调试器并以这种方式获取内存。这完全取决于您要分析/反转的内容。