Regiones de memoria con características inusuales

2 tareas · 40 min · Principiante

0 de 2 · 0%

El árbol de descriptores de áreas virtuales (VAD - Virtual Address Descriptor) mapea las regiones de memoria de cada proceso. Una región legítima suele estar respaldada por un archivo en disco (PAGE_EXECUTE_READ para código compilado). En cambio, una región de memoria privada no respaldada por ningún archivo que tenga permisos de ejecución y escritura simultáneos (PAGE_EXECUTE_READWRITE / RWX) es la firma clásica de inyección de código (process hollowing, reflective DLL loading o shellcode).

Responde para continuar

¿Por qué los analistas consideran que una página de memoria con permisos PAGE_EXECUTE_READWRITE es una fuerte anomalía?

Porque los procesadores modernos se niegan físicamente a ejecutar código en sistemas con más de 8 GB de RAM Porque los permisos RWX impiden que el proceso se conecte a redes locales internas Porque el sistema operativo Windows no permite asignar permisos de lectura a ningún proceso Porque el principio W^X (Write XOR Execute) establece que la memoria no debe ser simultáneamente modificable y ejecutable

Ver pista de ayuda

Recuerda la política de seguridad que prohíbe que una misma página sea escribible y ejecutable.

Verifica en la tabla netscan_memory el puerto de destino (foreign_port) al que se conecta el proceso 4108.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuál es el foreign_port registrado en la conexión de red de netscan_memory?

Ver pista de ayuda

Consulta la columna foreign_port en netscan_memory.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Análisis de Memoria RAM · Volatility 3 & MemProcFS

Memory Forensics Analysis Framework (Volatility v3)

Tablas

pslist_malfind

pid
ppid
image_name
vad_tag
protection
commit_charge
decision

netscan_memory

pid
process_name
local_addr
local_port
foreign_addr
foreign_port
state

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Detección de inyección mediante VAD y permisos RWX

2 Puerto foráneo en la conexión de netscan Lab

Whoami-Labs Pro utiliza cookies