nccgroup/mnemosyneA Generic Windows Memory Scraping Tool
Mnemosyne ist ein generisches, auf Windows basierendes Tool zum Scraping von Arbeitsspeicher.
Es durchsucht den Speicherbereich eines Prozesses nach einem Suchstring oder Regex (Unicode und ASCII) und gibt diese, falls gefunden, entweder an stdout, in eine Datei oder über einen Socket an einen entfernten Listener aus.
Das Dienstprogramm ist nützlich für das Scraping des Speichers eines Prozesses, als Post-Exploitation-POC, als dynamischer Analysemechanismus für Malware, als Instrumentierungswerkzeug für den Einsatz beim Fuzzing und für viele andere Anwendungen.
Das Tool arbeitet unbegrenzt über einen Prozess (oder alle laufenden Prozesse), da der Speicher dynamisch und schnellen Änderungen unterworfen ist. Daher kann diese Schleife vorteilhafter sein, um bestimmte interessante Elemente im Speicher zu scrapen.
Es verwendet ausschließlich native Win32-API-Aufrufe, hat also keine Abhängigkeiten und funktioniert von Windows 2000 bis Windows 10 (für ältere Plattformen ist eine Kompilierung auf verschiedene .NET-Versionen erforderlich).
Die Hauptbeschränkung betrifft geschützte Prozesse (Protected Processes) – Mnemosyne kann nicht auf den virtuellen Speicher eines geschützten Prozesses zugreifen und überspringt daher jeden solchen Prozess, ohne ihn zu scrapen.
Führen Sie Mnemosyne.exe aus, um die vollständige Verwendung zu sehen.
