# Hollows Hunter 进程内存植入扫描器

> hasherezade 开发的 Windows 命令行内存扫描器，把 PE-sieve 引擎从单个 PID 扩展到多个进程乃至整个系统。它识别并转储被替换或植入的 PE 模块、shellcode、钩子及其他内存补丁，供进一步分析，可按 PID 列表、进程名列表或相对于扫描开始时间的进程创建时间选择目标。扫描可以循环执行；64 位版本还能作为 ETW 监听器运行，由 INI 配置文件选择触发扫描的事件。

- 类型：工具
- 目标：二进制
- 类别：调试与动态分析
- 关联：基础工具
- 来源复核于：2026-10-19
- 收录于：2026-11-02
- 原始资源：<https://github.com/hasherezade/hollows_hunter>
- 一手来源：<https://github.com/hasherezade/hollows_hunter/blob/831561cd0c63d0d9c257ad3bc963327bd828b491/README.md>
- 目录页面：<https://awesomerea.org/zh/resources/hollows-hunter/>
- 记录 JSON：<https://awesomerea.org/resources/hollows-hunter/record.json>
- 英文版：[English](https://awesomerea.org/resources/hollows-hunter/index.md)

## 使用条件与局限

- 审阅时最新版本为 v0.4.1.1，发布于 2025-09-13，提供 32 位和 64 位可执行文件、ZIP 压缩包以及 DLL 构建压缩包；README 还指向 Chocolatey 软件包，wiki 则提到不稳定的 AppVeyor 测试构建。所审阅的 master 提交标为尚未发布的 0.4.1.3，比该版本多 37 个提交，主要是 PE-sieve 子模块更新。
- 仅支持 Windows。从源码构建需递归克隆固定版本的 PE-sieve、paramkit 和 Microsoft krabsetw 子模块，并需要 CMake 3.12+；AppVeyor 使用 Visual Studio 2019 构建 x86 和 x64 版本，mingw_build.sh 展示了 MinGW-w64 交叉编译。ETW 模式仅适用于 64 位版本，需以管理员身份运行，并在当前目录写入 HH_ETWProfile.ini。
- 它扫描的是分析者自己系统或虚拟机中正在运行的进程，仓库中不含任何样本。钩子与补丁扫描默认关闭，需用 /hooks 启用；未指定 /dir 时转储写入当前目录；wiki 指出循环扫描全系统会占用大量处理器资源。wiki 提醒检测到的进程不一定是恶意的，并链接 PE-sieve 关于误报的 FAQ，因此报告和转储需人工复核；可选的 /suspend 与 /kill 会直接作用于正在运行的进程。
- AppVeyor 在每次构建后运行 ctest：测试检查可执行文件能否启动，以及在干净的构建机上扫描时可疑进程数是否为零，随后执行 IAT、钩子、线程和 shellcode 模式扫描，但只检查报告格式。唯一的 GitHub 工作流用于发布 Doxygen 代码文档。
- 与 PE-sieve 一样采用 BSD-2-Clause；krabsetw 采用 MIT，固定版本的 paramkit 提交没有许可证文件。

## 一手来源

1. <https://github.com/hasherezade/hollows_hunter/blob/831561cd0c63d0d9c257ad3bc963327bd828b491/README.md>
2. <https://github.com/hasherezade/hollows_hunter/wiki/Home/33d85ea58ca60980d911348a867488b957f13639>
3. <https://github.com/hasherezade/hollows_hunter/blob/831561cd0c63d0d9c257ad3bc963327bd828b491/CMakeLists.txt>
4. <https://github.com/hasherezade/hollows_hunter/blob/831561cd0c63d0d9c257ad3bc963327bd828b491/.appveyor.yml>
5. <https://github.com/hasherezade/hollows_hunter/blob/831561cd0c63d0d9c257ad3bc963327bd828b491/.gitmodules>
6. <https://github.com/hasherezade/hollows_hunter/blob/831561cd0c63d0d9c257ad3bc963327bd828b491/mingw_build.sh>
7. <https://github.com/hasherezade/hollows_hunter/blob/831561cd0c63d0d9c257ad3bc963327bd828b491/hh_ver_short.h>
8. <https://github.com/hasherezade/hollows_hunter/blob/831561cd0c63d0d9c257ad3bc963327bd828b491/LICENSE>
9. <https://github.com/hasherezade/hollows_hunter/releases/tag/v0.4.1.1>
10. <https://github.com/hasherezade/pe-sieve/blob/98788a6ef98cd3c1a0ee481dc5a6847cb4f92432/README.md>
11. <https://github.com/microsoft/krabsetw/blob/6900de05d8ad7a38867719974f0406d5fd57af02/LICENSE>

## 同分区更多条目：原生二进制

- [restore-symbol iOS 符号表恢复工具](https://awesomerea.org/zh/resources/restore-symbol/index.md) · 工具
- [FakeNet-NG 动态网络分析工具](https://awesomerea.org/zh/resources/fakenet-ng/index.md) · 工具
- [Joern 代码属性图分析平台](https://awesomerea.org/zh/resources/joern/index.md) · 工具
- [Speakeasy Windows 恶意软件仿真框架](https://awesomerea.org/zh/resources/speakeasy/index.md) · 工具
- [LazyIDA：IDA 便捷操作插件](https://awesomerea.org/zh/resources/lazyida/index.md) · 工具
- [Tiny Tracer API 调用跟踪工具](https://awesomerea.org/zh/resources/tiny-tracer/index.md) · 工具

## 关于此条目

说明已依据一手来源复核。
原创说明采用 MIT 许可；外部项目、论文与素材保留各自的权利和许可。