简介
windows应用程序兼容性缓存分析受到一限制：缓存中的数据是唯一在系统关机或重新启动的时候序列化到注册表。为什么这个限制会如此重要?
因为为了解析应用程序兼容性缓存如今的工具都依赖于在Windows注册表中找到的序列化高速缓存，这意味着该数据只有在近期重新启动系统时才是***的。包括美国麦迪安网路安全公司自身的Shim缓存解析器以及内存分析框架都依赖于在内存中找到的Windows注册表副本。
目前的工具留给研究者只有两个选择：重新启动系统强制高速缓存——这可能会破坏其他的证据，或在系统重新启动时限制研究者数据分析。解决这个问题的方法就是直接从内核内存分析应用程序兼容性缓存。
本文将介绍应用程序兼容性缓存的内存结构，它允许对已经执行的近期最少使用算法(LRU)应用程序进行实时检索。还将引入一个Volatility插件(ShimCacheMem)实现基于内存结构的实时应用程序兼容性缓存检索。我们将会用一个恶意软件生成并运行其它的恶意程序的例子来说明。
应用程序兼容性缓存
随着Windows操作系统的升级，一些功能也在不断改变，可是这可能会影响一些程序的执行。为了减轻这种问题，Microsoft引入了Shim Infrastructure用于应用程序的特定版本的修复，现在被称为“shims”。
应用程序兼容性缓存或Shim缓存是Windows操作系统应用程序兼容性模块的一部分，以快速确定由于兼容性问题需要shimming的应用程序。
它存储在内核里并且在关机的时候序列化到注册表。在Windows 10里，序列化也是发生在重新启动的时候。
举个例子
在这个例子中，一个恶意发射器软件发出一个HTTP请求到一个网站然后下载一个可执行文件保存到磁盘并执行以检索CNC 服务器 的URL。
图1：在执行前该发射器出现在Temp文件夹中
图2：发送HTTP请求到一个网站以获取CNC服务器的URL
图3显示了可执行文件被成功下载后Temp文件夹的内容;注意下载的文件的名字——0CD8，是随机生成的：
在执行其功能之前磁盘上的发射器被删除然后下载好的可执行文件开始运行。
图4：发射器软件已被删除：
如果没有一个文件监控程序，这个详细信息可能会在系统的取证调查过程中被错过。
如前面所述，研究者可以reboot系统并使用该Shim缓存分析器工具分析注册表中序列化的应用程序兼容性缓存。或者从内核内存获取内存转储并使用ShimCacheMem插件直接分析应用程序兼容性缓存。
图5展示了在IntelRC.exe恶意软件执行之前ShimCacheMem Volatility插件的输出;注意看该恶意软件还没有执行。
图6展示了ShimCacheMem Volatility插件在IntelRC.exe恶意软件执行后的输出。列表中的顺序提供了实际的执行顺序，第1项是最近执行的应用程序。看第4项，IntelRC.exe，它在第1项中下载的恶意软件是0DE9.exe。尽管实际上有些文件已经从磁盘删除了，但是ShimCacheMem Volatility插件还是识别出了在感染的系统上执行恶意软件。
更多细节请戳这里
结论
应用程序兼容性缓存提供了文件执行的有利证据。然而，因为缓存只是加载到注册表在系统关机或重新启动，现有的工具还没有办法提供查看最近的缓存数据。不过使用shimcachemem Volatility插件可以在无论何时重启系统的情况下最快地看到缓存。
惠普台式机重装系统后启动后蓝屏，代码：0x00000050，请问是什么原因？
您的台式电脑出现重装后蓝屏情况，蓝屏一般是系统导致的一般HP的电脑都有系统还原建议使用系统还原尝试，或者使用恢复预装系统的方法：1.可以拨打800-820-6616或400-885-6616来邮购系统恢复光盘。 2.维修站上门恢复预装系统。 3.送修维修站恢复预装系统。 以上三种方法均需要付费，请先备份系统中的重要数据。 感谢您对惠普（HP）的支持。
"0x7c939af2"指令引用的"0x00000010"内存。该内存不能为"written"。
这种情况，一般都是由 系统软件、内存、引起的。 1、电脑不心装上了恶意软件，或上网时产生了恶意程序，建议用360 卫士 、金山卫士等软件，清理垃圾，查杀恶意软件，完成后重启电脑，就可能解决。 实在不行，重装，还原过系统，可以解决软件引起的问题。 2、如果只是运行个别软件或游戏偶尔出现的，重启电脑再试，或到其他地方下载其他版本的软件重新安装。 3、点开始菜单 运行 输入 cmd 回车，在命令提示符下输入for %1 in (%windir%\system32\*) do /s %1 然后 回车。 然后让他运行完,应该就可能解决。 4、最近电脑中毒、安装了不稳定的软件、等，建议全盘杀毒，卸了那个引发问题的软件，重新安装其他 版本，就可能解决. 再不行，重新装过系统就ok.5、电脑机箱里面内存条进灰尘，拆开机箱，拆下内存条，清洁下内存金手指，重新装回去，就可能可以了。 (cqjiangyong总结的,旧电脑经常出现这样的问题)。 6、电脑用久了内存坏、买到水货内存、多条内存一起用不兼容等，建议更换内存即可能解决。 7、很多时候由于系统和驱动的兼容性不好，也会出现这样的错误，建议换个其他版本的驱动安装，或换个其他版本的系统安装。
为什么手机老是显示已停止运行
这是Android安卓手机上很常见的一种应用故障，说明应用在运行的时候崩溃了。 另外一种Android手机常见故障是闪退(FC)，也就是启动的时候，或者运行到某个界面的时候，没有任何提示，应用就消失了，退回到系统页面。 出现这两种问题的原因很多，一般和应用本身或者系统有关，可以从简单到复杂，逐步排查，可以按照下边的顺序挨个进行，直到某个步骤解决。 1、确定是哪个应用出现了此问题。 2、打开系统设置－应用管理(不同手机路径、路径不同但都差不多)，找到出问题的应用，选中进入属性页面，点击“清空缓存”，甚至“删除数据”，但后者会清除此应用的登录信息、个性设置等，需要重新设置。 3、卸载问题应用，重新安装。 4、查看应用是否有最新版本，升级。 5、如果系统是最新的，比如刚升级到安卓8.0，部分应用可能不兼容，此时只能等待应用更新。 6、如果是系统应用，可以恢复到预装版本，一般卸载就会这样执行。 7、在系统设置内，恢复出厂设置，等于重置整个系统，这样用户数据会丢失，一定要做好备份。 8、进入手机的Recovery刷机模式，清除缓存，包括wipe>拓展资料：在计算机科学中，执行终止是指计算机执行某种命令使软件停止运行或使机器终止提供某种服务和功能。 执行终止可以分为以下两种情况：在人为干预下，机器执行终止；系统中运行的软件或程序当满足某个要求时，程序自动执行终止操作。 参考资料：网络百科词条 执行终止
发表评论