大家好,今天给大家分享一款专业的 Windows 恶意程序分析与清理工具OpenArk
,它能够帮助用户发现系统中隐藏的恶意软件。
OpenArk是一款Windows
平台上的开源Ark工具. Ark是Anti-Rootkit(对抗恶意程序)的简写, OpenArk目标成为逆向工程师、编程人员的工具,同时也能为那些希望清理恶意软件的用户服务。以后也将会支持更多功能和命令。
项目介绍
OpenArk允许用户查看和操作进程、线程、模块、句柄、内存、窗口等,并包含了进程注入等高级功能。此外,它还提供了内核级别的工具来检查和操作内存管理、驱动程序、热键、回调、过滤驱动等,以对抗和分析潜在的恶意软件行为。
特色功能
1. 进程
支持查看进程、线程、模块、句柄、内存、窗口、Token、内存扫描、PPL等信息,还有模块卸载、进程注入等功能。
- 创建进程Dump
使用OpenArk,选定进程,右键创建Dump,可选Fulldump或Minidump,一般进程内存使用不多的情况下,Dump都选Fulldump。
- 定位进程文件
程列表中选择进程,右键Explore File,或者使用快捷键Ctrl + L,即可定位到进程文件路径。
- 批量结束进程
批量结束进程跟查找进程参数基本一致,仅多了结束进程动作。
使用命令:
.ps -kill -name <进程名模糊匹配>
.ps -kill -path <进程路径模糊匹配>
.ps -kill -pid <进程ID,逗号分隔>
- 查看内存信息
查看系统内存使用:
C:\>.mm
PageSize : 4096 B
Memory Usage : 89.11%
-------------------------------------------
CommitTotal : 14.28 GB (14625.38 MB)
CommitLimit : 21.40 GB (21918.15 MB)
CommitPeak : 15.58 GB (15955.36 MB)
-------------------------------------------
PhysicalTotal : 15.95 GB (16337.25 MB)
PhysicalAvailable : 1.74 GB (1778.73 MB)
-------------------------------------------
KernelTotal : 0.94 GB (966.70 MB)
KernelPaged : 0.74 GB (756.39 MB)
KernelNonpaged : 0.21 GB (210.31 MB)
SystemCache : 2.90 GB (2964.89 MB)
查看进程内存使用:
C:\>.mm -pid 488
Working set : 5.48 MB
WS Private : 1.59 MB
Private : 1.91 MB
PeakWorkingSet : 5.55 MB
PageFaultCount : 1875
-------------------------------------------
QuotaPagedPoolUsage : 0.11 MB
QuotaNonPagedPoolUsage : 0.02 MB
QuotaPeakPagedPoolUsage : 0.12 MB
QuotaPeakNonPagedPoolUsage : 0.02 MB
-------------------------------------------
PagefileUsage : 1.91 MB
PeakPagefileUsage : 2.28 MB
- 查看进程基本信息
进程列表中选定进程,双击或者Ctrl + P查看Properties,如下图所示:
- 查看进程模块
进程列表中选定进程,模块如下图所示:
- 查看进程窗口
进程列表双击(或者右键查看Properties),选择WindowList,如下:
- 查看进程线程
在进程列表双击(或者右键查看Properties),选择Thread,如下:
- 通过PID选择进程
使用快捷键Ctrl + G,可输入进程ID(10进制或16进制)来定位进程,如下图所示:
2. 内核
系统内核工具,例如:内存管理、驱动、热键、回调、过滤驱动、存储、IDT/SDT/NDIS/WFP等功能。
- 查看被占用的系统热键
经常会遇到系统热键/快捷键被占用,但是不知道被谁占用。OpenArk现已加入可以枚举和摘除系统热键的功能,支持Win7/Win8/Win8.1/Win2012/Win2016/Win10 (~2004) x86/x64 Win7及以上所有版本)。
注意:如果上面没获取对应的热键,请检查你输入法的快捷键(比如:微软拼音/搜狗/谷歌输入法等),因为输入法的快捷键是单独管理的,不在系统全局热键中。
- 解锁被占用的文件
经常会遇到文件或文件夹被占用,但是却不知道被谁占用着,故OpenArk加入了类似Unlocker(老一代软件)的文件解锁功能,能够快速地帮用户解决文件占用问题。
由于某些程序的自身实现逻辑,解锁某些文件后,会导致该程序退出;另外有时候结束相关的进程也许不够优雅,但是却是一种比较实用的方式。
3. 编程助手
程序员的工具箱。
- 时间戳转换
使用命令.ts,查看说明:
C:\>.help .ts
.ts - show unix timestamp
.ts 1234566/0n22222/0x431203BC [show timestamp]
- 查看文字编码
文字编码种类繁多,常见的是ASCII、UTF-8、UTF-16、GBK、BIG5等。对于汉化人员或者经常遇到乱码的开发人员来说,查看文字编码显得尤为重要。
- 查看窗口消息ID
查看消息处理过程函数原型,窗口消息ID即是uMsg,通常我们逆向分析跟踪消息处理过程时经常会用到。
查看所有消息ID,可通过.msg命令,.msg使用说明:
C:\>.help .msg
.msg - show window message id
.msg [show message id list]
.msg -name button [show message name matched *button*, eg:WM_LBUTTONDOWN...]
.msg -id 201/0x201/0n513 [implies WM_LBUTTONDOWN]
- 系统错误值查看
可使用图形化工具,也可使用.err命令
查看.err命令使用说明:
C:\>.help .err
.err - show LastError or NTSTATUS
.err 2 [show LastError]
.err -s c0000034 [show NTSTATUS]
- 进制转换
值修饰前缀和Windbg保持一致。
二进制:0y (BIN)
八进制:0t (OCT)
十进制:0n (DEC)
十六进制:0x (HEX)
默认值:针对不同命令可能不一致,如.ps 和 .wnd具体查看对应命令的使用说明
.fmt使用帮助
C:\>.help .fmt
.fmt - show value formats, default radix is 16(hex)
.fmt 0x400/0n1024 [Hex(0x),Dec(0n),Oct(0t),Bin(0y)]
C:\>.fmt 123
HEX: 123
DEC: 291
OCT: 443
BIN: 00000001 00100011
STR: ..
4. 扫描器
PE/ELF文件解析器,以后会变成病毒分析助手。
PE文件是Windows下的可执行程序,与之对应的是Linux下的ELF,macOS下的Mac-O,都是遵从COFF结构标准,两个基本要素是:头Header + 区段(Section),头是属于Meta数据,区段是具体内容。
查看PE文件结构使用方法,如下图所示:
查看基本信息
5. 捆绑器
目录和多个程序可以捆绑成一个exe程序,同时支持脚本。
示例,请查看制作一个捆绑程序。
6. 工具库
精心挑选了许多有用的小工具,这些和OpenArk既有功能互补,高效率,我们一直在思考。
7. 语言
目前支持中文和英文,以后会支持更多。
安装使用
-
程序:独立的exe,无DLL依赖,支持32位、64位。
-
支持系统:Windows XP … Win7 … Win10 … Win11 …
下载地址,请前往Github发布页。
编译安装,请参考编译安装指南。
项目地址
https://github.com/BlackINT3/OpenArk
标签:查看,MB,Windows,show,恶意程序,GB,OpenArk,进程,一款
From: https://www.cnblogs.com/yunmoom/p/18343374