zhutijiang

V2EX 第 546169 号会员，加入于 2021-05-24 16:52:01 +08:00

zhutijiang 最近回复了

2021-05-26 10:55:35 +08:00

@x1aoYao 只有 office 才自动解密，我猜测很有可能只是简单的匹配了下进程路径和进程名，你可以自己写个程序放到 office 程序路径下改个名，应该就能骗过了

2021-05-25 10:04:34 +08:00

而且就算按照你的思路，那也不是内存 dump，你只要用最原始的读取文件的方式，比如 open/read 把你需要的任何文件原封不动读进内存，那么在此过程中，驱动会给你自动解密，之后怎么做就随你便了，为啥非要局限于用 word/excel 打开，然后 dump 内存呢？？

2021-05-25 10:01:51 +08:00

你们这个思路都错了呀。。。。既然是磁盘驱动自动加解密，你就算 dump 出来，存到磁盘里的过程又被自动加密了，所以要想传出来明文，就不能经过磁盘这个步骤。由于读到内存时自动解密，所以直接通过联网，用邮件附件发送之类的就好了呀。