我正在 Windows XP SP2 内存转储上使用波动性和 pefile 进行内存取证。

我在 VirtualBox VM 中运行 Windows 并使用 vboxmanage debugvm dumpguestcore --filename dump.vmem 获取转储

我正在尝试构建一个由进程导入的 dll 树。因此，我从 process 开始递归地遍历 dll ImageBaseAddress。出现的问题是，对于某些 dll，dllBase 被分页，因此我无法读取导入和延迟导入目录结构。

我尝试在Control Panel-> System-> Advanced-> Perfomance-> Advanced-> Virtual Memory-> 中禁用分页No paging file。我还将注册表项HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management\DisablePagingExecutive从更改0为1，但行为保持不变。

另一个问题是，即使 dllBase 没有被分页，有时即使模块 / dll 有目录，但使用 PEfile 读取导入或延迟导入目录也会失败。

非常感谢任何帮助。