memscan

يبحث في مساحة ذاكرة العملية عن السلاسل النصية، والتعبيرات النمطية، وأرقام بطاقات الائتمان الخاصة بمسارات الشريط المغناطيسي

ماسح الذاكرة/العمليات
كتبه مات لويس، NCC Group 2014
حدّثه توم واتسون، NCC Group 2015
شكرًا لجيسي بولوك على الكثير من الأفكار الرائعة

أُطلق كبرنامج مفتوح المصدر بواسطة NCC Group Plc - http://www.nccgroup.com/

طوّره مات لويس وتوم واتسون، matt [dot] lewis [at] nccgroup [dot] com & tom [dot] watson [at] nccgroup [dot] com

http://www.github.com/nccgroup/memscan

أُطلق بموجب رخصة AGPL، انظر LICENSE لمزيد من المعلومات

ملخص - يستمر في فحص مساحة ذاكرة عملية بحثًا عن سلسلة بحث (يونيكود و ASCII)، أو نمط regex، أو بيانات بطاقة ائتمان، أو بيانات شريط مغناطيسي، ثم إذا عثر عليها يُخرجها إما إلى stdout أو ملف أو مقبس (socket) متصل بمستمع بعيد

مفيد لكشط ذاكرة عملية، أو كإثبات مفهوم (POC) بعد الاستغلال، أو كأداة قياس/حقن تُستخدم أثناء التشويش (fuzzing)

TODO - يمكن إعادة هيكلة الكثير من الكود المكرر

تم اقتباس الكود من http://www.codeproject.com/Articles/716227/Csharp-How-to-Scan-a-Process-Memory
الكود الأصلي مرخّص بموجب CPOL: http://www.codeproject.com/info/cpol10.aspx

الاستخدام

memscan
-string -s [pid] [Remote IP] [Remote Port] [delay] [width] [search term]
-string -f [pid] [filename] [delay] [width] [search term]
-string -o [pid] [delay] [width] [search term]
-regex -s [pid] [Remote IP] [Remote Port] [delay] [width] [regex]
-regex -f [pid] [filename] [delay] [width] [regex]
-regex -o [pid] [delay] [width] [regex]
-ccdata -s [pid] [Remote IP] [Remote Port] [delay]
-ccdata -f [pid] [filename] [delay]
-ccdata -o [pid] [delay]
-msdata -s [pid] [Remote IP] [Remote Port] [delay]
-msdata -f [pid] [filename] [delay]
-msdata -o [pid] [delay]
-proclist

تعريفات الخيارات:
-string البحث عن سلسلة نصية
-regex البحث عن نمط regex
-ccdata البحث عن بيانات بطاقة الائتمان
-msdata البحث عن بيانات الشريط المغناطيسي
-s كتابة المخرجات إلى مقبس (socket)
-f كتابة المخرجات إلى ملف
-o كتابة المخرجات إلى الطرفية
delay الوقت المنتظر بين كل عملية فحص لقطعة ذاكرة
width كمية البيانات المعروضة قبل وبعد مصطلح البحث
string سلسلة نصية للبحث عنها في الذاكرة (المسافات مسموحة)
regex تعبير نمطي للبحث عنه في الذاكرة (مثال: 3[47][0-9]{13})