diff --git a/detecting_ph_process.md b/detecting_ph_process.md index 0254cd3..822e552 100644 --- a/detecting_ph_process.md +++ b/detecting_ph_process.md @@ -22,7 +22,7 @@ 以下Case1-4で各種Toolを用いて,Process Hollowingされたプロセスの識別を行う ## Case1: Hollows Hunter -全プロセスもしくは特定の名称のプロセスのメモリをスキャンし,Process HollowingやInjectionを検出・ダンプすることが可能。[PE-Sieve](https://github.com/hasherezade/pe-sieve)と同じ開発者([@hasherezade](https://twitter.com/hasherezade))によって作成されたツールであり,PE-Sieveのdllが内部で用いられている。 +Hollows Hunterは,全プロセスもしくは特定の名称のプロセスのメモリをスキャンし,Process HollowingやInjectionを検出・ダンプすることが可能。[PE-Sieve](https://github.com/hasherezade/pe-sieve)と同じ開発者([@hasherezade](https://twitter.com/hasherezade))によって作成されたツールであり,PE-Sieveのdllが内部で用いられている。 1. Hollows Hunterを[こちら](https://github.com/hasherezade/hollows_hunter/releases)からダウンロードする 2. 管理者権限でPowerShellを実行 3. 使用方法は```/help```で以下のように確認することができる(~の部分は省略)。