• https://www-fireeye-com.translate.goog/blog/threat-research/2019/08/finding-evil-in-windows-ten-compressed-memory-part-two.html?_x_tr_sl=auto&_x_tr_tl=zh-CN&_x_tr_hl=zh-CN&_x_tr_pto=wapp
• https://www.fireeye.com/content/dam/fireeye-www/blog/pdfs/finding-evil-in-windows-10-compressed-memory-wp.pdf
• https://github.com/mandiant/win10_volatility
• https://www.blackhat.com/us-19/briefings/schedule/#paging-all-windows-geeks–finding-evil-in-windows–compressed-memory-15582

笔记本电脑突然变蓝了。我以为我遇到了一个远程崩溃的软件。我以为机会来了，终于可以调试蓝屏了。我以为是smb蓝屏服务，接下来令人沮丧，没有定位到蓝屏的具体原因和过程，但是dmp信息指向了compressed,想了想，还是跟着看看相关的材料，现在只能用相关的工具，太菜，现在具体结构还没有弄清楚，这个先暂时结一下，以后考古再回头看。

申请内存过大会导致前面内存块压缩的程序
win10_volatility 运行环境

 int main() {  long long memsize = 0;  memsize  = FILE_SIZE;  char* buf = new char[memsize];  cout <<"hello";  memcpy(buf,"hellworld,helloworld,hellworld,hellworld,hellworld,hellworld,hellworld",71);  memset((char*)(buf 77), 'A', memsize);  printf("memsize:4d  MB\r\n", memsize / 1024 / 1024);  printf("%llx", (char*)buf);  while (true)  {   memsize  = FILE_SIZE;   char* sss = new char[memsize];   memset(sss, 'hihh', memsize);   printf("memsize:4d  MB\r\n", memsize / 1024 / 1024);   printf("%llx", &sss);      getchar();  } }  

借助虚拟机vmem，对着part2 和win10_volatility 虚拟机不知道偏移在哪里bug, 相同的内存镜像 ， 第一次导出vmem偏移可以向上，第二次vmem如果没有偏移，工具找不到偏移，对上次vmem偏移,唯一的小问题是最终的计算region of compressed pages va每个系统的版本都不一样，可以参考 volatility 结构体的定义.在addrspces和windows下的win10_memcompression中