Kernel Detective程式使用教程(2)

進程窗口(2)

    進程窗口不單止提供了基本的功能操作,還可以觀察進程在內核的信息

    ID:進程的ID,就是windows系統中進程管理器查看的PID.
KD不單止提供了進程ID的選項,還提供了進程父ID,方便我們查看他的父進程.

    KPROCESS:這個列是查看進程在內核中的一個結構內核進程結構地址,這個是進程在內核中最重要的結構.

    PEB:這個是提供進程ring3級得進程結構地址,如果不進行內核操作時候這個結構就可以獲取進程ring3進程信息.

    映像基址Image Base:進程的模塊基地址,玩過破解的人都知道.:)

    入口地址Entry Ponit:玩過破解的人都知道.:)

    除了上一節的基本應用,KD這些列信息是提供給比較專業的技術人士看的,比如編程,破解,反病毒程式等等,這些功能就非常的實用了.

Kernel Detective程式使用教程(1)

作者:lypwell

部落格:0mblogger.blogspot.com

    工具下載地址:http://filemarkets.com/file/newbing/9341a38a/

    Kernel Detective程式已經很久沒有更新了，這個工具作用是非常強大的，尤其是在內核修改的方面，功能獨樹一幟。

Kernel Detective是幾乎包括所有的內核方面操作的工具，打開后查看界面

    多面板顯示功能,kd 1.4一共有11項主要功能,
    Process為進程組別,可以看到在內存運行當中的進程組別,在這個窗口當中,處理可以看到一般進程之外,還可以看到隱藏在我們電腦當中未知的進程,比如有一些病毒程式最喜歡隱藏自己的進程,在強大kd面前它就無可隱藏了.
在一個進程當中右鍵:

    在右鍵菜單欄中,你可以選擇停止進程(Sunspend),恢復進程(Resume),如果你病毒剛剛運行的時候,你還可以結束進程(Terminate),關閉不了的時候還可以強迫結束進程(Force Terminate).
    當你已經確定要刪除文件的時候,你直接用Delete File就可以把文件刪除了,當然了,kd當中仍然提供了強迫刪除命令Forc Delete刪除無法刪除的頑固文件.在強迫刪除命令下面有一個非常有用的命令,使用這個命令是比較專業的哦,轉儲到文件(Dump to file),這個命令可以把你選中的進程轉儲出來進行分析,專業人士可以用IDA反彙編轉儲出來的文件查看這個進程到底幹了什麽事情.
    在右鍵菜單的最後一項是kd的特色了,就是查看內存功能,呵呵,玩外掛的朋友笑了,這個功能太好了,選擇它之後,

    在Address處填入你要反彙編的地址,size是一共要反彙編的大小,點擊Submit后窗口自動跳轉到反彙編窗口:

    到這裡之後,你可以像強大的Cheat Engine直接編輯內存了,怎麼樣,強大吧.