Hola,
Cuando intento hacer un strings sobre pagefile.sys de un WinXP SP2 me da el mensaje
"Failed to open c:\pagefile.sys: El proceso no tiene acceso al archivo porque está siendo utilizado por otro proceso"
Si no me falla la memoria antes lo podía hacer sin problemas....
¿Alguna idea?
Prueba a hacer una imagen del OS, la montas y le haces el string al sistema "clónico" a ver si ya te deja
:)
Gracias, eso ya se que funciona. La cosa es que me suena (al menos así lo indica Silverhack en su Introducción al análisis forense) que funcionaba sobre un sistema vivo.
Es verdad
Citarstrings C:\pagefile.sys | findstr /i MSNMSGR
Quizás antes no estaba bloqueado :-\ (aunque creo que si), o podrías probar quitando el atributo de sistema al archivo.
De cualquier manera creo que lo mejor sigue siendo hacerlo en "frío" :P
Saludos
Solo confirmar lo dicho por Novlucker, no vas a poder acceder al fichero pagefile.sys mientras el sistema este online y, por lo tanto, haga uso del mismo.
Saludos
Que hay.
el archivo de systema pagefile.sys esta siendo usado por el propio S.O. te encontraras con el mismo problema con el SAM, por ejemplo.
Es lo que ocurre, incluso cuando haces un defrag eso mismo ocurre, que no desfragmentas muchos archivos porque estan en uso por el S.O, de ahi lo suyo el hacer un defrag con alguna app que lo permita en tiempo de booteo.
Bueno yo lo que hacia para ver lo que habia en el pagefile.sys es usar una distro de Linux y pasarle strings. Puedes usar una live cd cualquiera que te permita montar NTFS (Knoppix la ultima ?)
Saludos.
P.D: No vayas pensando que vas a hace un
# strings pagefile.sys | grep "mipasswd"
y la vas a obtener. Normalmente no deberia de escribirse data asi de importante sobe el archivo de swap.. Veras muchas entradas del AV y demas cosas similares.
Cita de: alfaro en 9 Abril 2010, 11:56 AM
Hola,
Cuando intento hacer un strings sobre pagefile.sys de un WinXP SP2 me da el mensaje
"Failed to open c:\pagefile.sys: El proceso no tiene acceso al archivo porque está siendo utilizado por otro proceso"
Si no me falla la memoria antes lo podía hacer sin problemas....
¿Alguna idea?
Lo he abierto hace tiempo y no entiendo nada.
He instalado 2 Windows XP en C:\ y el otro en un disco duro particionado. No puedes abrirlo ya que lo usa el sistema operativo, pero puedes ir al otro Windows instalado en otra partición y hacer lo que desees.
Saludo.
Claro, por eso decimos que desde un live-cd no hay problemas en acceder a él, y lo mismo desde otra instalación, el tema es que el sistema no este bloqueando el archivo :P
Saludos
Cita de: Meta en 9 Abril 2010, 21:45 PM
Cita de: alfaro en 9 Abril 2010, 11:56 AM
Hola,
Cuando intento hacer un strings sobre pagefile.sys de un WinXP SP2 me da el mensaje
"Failed to open c:\pagefile.sys: El proceso no tiene acceso al archivo porque está siendo utilizado por otro proceso"
Si no me falla la memoria antes lo podía hacer sin problemas....
¿Alguna idea?
Lo he abierto hace tiempo y no entiendo nada.
He instalado 2 Windows XP en C:\ y el otro en un disco duro particionado. No puedes abrirlo ya que lo usa el sistema operativo, pero puedes ir al otro Windows instalado en otra partición y hacer lo que desees.
Saludo.
hola
en si, no puedes abrir nunca un archivo, que este usando otro proceso.
eso pasa porque windows, de manera predeterminada no borra el contenido del pagefile.
hay una opcion, en la parte de sistema en rendimiento y recuperacion, que permite que windows borre el pagefile en cada apagado , aunque demora un poco mas en apagarse tu pc.
si queres provar, borra el pagefile.sys usando el unlocker.
no se ahora, pero cuando lo borre, se puso la pantalla con 000000000 toda negra, y se apago de golpe.:D
saludos
No me extra*a que se te apagara el PC, imagina la de procesos que recaian sobre la info guardada en el pagefile.sys.
Saludos.
pues básicamente le habeis dicho todos lo que dije yo.. :¬¬ :¬¬
Hmmm.. el que dijistes tu kamsky ??
Pero bueno, fijo que es asi :)
Saludos.
CitarPrueba a hacer una imagen del OS, la montas y le haces el string al sistema "clónico" a ver si ya te deja[\quote]
ah, va va :D
Saludos!
Gracias a todos por el interés en las contestacioneos y a kamsky por su rapidez :)
El insitir es porque tengo en la memoria de que hace un par de años, probe a hacer un strings y si que me lo permitió.
Saludos
Tambien podrias probar a lanzar la consola como system
at hh:mm /interactive cmd.exe
Cuando se habra la consola del proceso svchost, ya seras sistema tal vez asi puedas acceder al pagefile
Un saludo
Cita de: LauBuru en 12 Abril 2010, 01:08 AM
Tambien podrias probar a lanzar la consola como system
at hh:mm /interactive cmd.exe
Cuando se habra la consola del proceso svchost, ya seras sistema tal vez asi puedas acceder al pagefile
Un saludo
hola,
no creo que funcione :P
son muchos procesos los que hacen uso, pero lo gestiona el sistema operativo.
asique, no creo que se pueda, al menos con windows en runtime.
de manera offline, sigue ciendo la mejor manera de trabajo, por esto y por muchas otras cuestiones.
saludos
No obstante, y dado el poco contexto que ofrece una simple busqueda de cadenas en mi opinion solo resultara util si es posible correlacionarla con datos de otras fuentes.
Saludos
perdona mi ignorancia, strings es un programa de analisis forense?
Strings (http://technet.microsoft.com/en-us/sysinternals/bb897439.aspx):P
Saludos