工具

dumpulator 内存转储模拟库

基于 Unicorn 的 Python 库，用于模拟 Windows 64 位和 32 位进程 minidump 中的用户态代码。由于转储提供了完整的进程内存，只需模拟系统调用，分析者即可调用函数、在两个地址之间运行代码、跟踪指令，并读取解密后的字符串等结果。README 将其用于恶意软件分析（如配置提取和脱壳）及一般的动态分析；可用 Python 重新实现或挂钩系统调用，并以类型化方式声明结构体。

目标: 二进制
类别: 调试与动态分析
关联: 基础工具
来源复核于: 2026-10-20

星标: 892
最近提交: 2024-02-02
主要语言: C
许可（GitHub 识别）: BSL-1.0

GitHub 数据，截至 2026-11-09

复制为 Markdown 查看 JSON 引用

使用条件与局限

README 称 dumpulator 为原型。PyPI 版本 0.2.6 与源码 setup.cfg 的 1.0.0 版本号不同；1.0.0 尚无发行版。
输入为目标进程的完整内存 minidump。在固定提交中，463 个 Zw* 系统调用声明里有 38 个处理程序，其余会抛出 NotImplementedError。
需要 Python 3.9+、unicorn ~=2.0.0、pefile 和 capstone ~=4.0.2。仓库附带经修补的 minidump 解析器。CI 使用 Python 3.9 在 Windows Server 2019 测试。
CI 下载项目托管的 x64 与 x86 测试 minidump，并运行入门脚本和异常测试。完整进程转储样本包含已加载的 Windows 系统模块。
LICENSE 为 BSL-1.0。模拟范围限于一个内存快照和已实现的系统调用。

引用

BibTeX

@misc{dumpulator,
  title = {{dumpulator}},
  howpublished = {\url{https://github.com/mrexodia/dumpulator}},
  url = {https://github.com/mrexodia/dumpulator},
  urldate = {2026-10-20},
  note = {Awesome REA entry: \url{https://awesomerea.org/zh/resources/dumpulator/}}
}