mXtract

mXtract ist ein Open-Source-Tool für Linux, das Arbeitsspeicher analysiert und ausliest. Es wurde als Penetrationstest-Werkzeug entwickelt. Sein Hauptzweck ist es, den Speicher mithilfe von regulären Ausdrücken nach privaten Schlüsseln, IPs und Passwörtern zu durchsuchen. Denken Sie daran: Ihre Ergebnisse sind nur so gut wie Ihre regulären Ausdrücke.

Bildschirmfotos

Scan mit detaillierter Ausgabe und einem einfachen IP-Regex, der jedes Datensegment scannt, Prozessinformationen anzeigt und Umgebungsdateien scannt.

Scan mit detaillierter Ausgabe und einem einfachen IP-Regex, der nur Heap und Stack scannt, Prozessinformationen anzeigt und Umgebungsdateien scannt.

Scan ohne detaillierte Ausgabe, mit einem einfachen IP-Regex, der Prozessinformationen anzeigt und Umgebungsdateien scannt.

Warum direkt aus dem Speicher auslesen?

In den meisten Linux-Umgebungen können Benutzer auf den Speicher von Prozessen zugreifen. Dies ermöglicht Angreifern, Anmeldeinformationen, private Schlüssel oder alles andere zu sammeln, das nicht sichtbar sein sollte, aber von einem Programm im Klartext verarbeitet wird.

Funktionen

• Möglichkeit, Regex-Listen einzugeben
• Klare und lesbare Anzeige
• Überprüfung, ob ein Speicherbereich mit den aktuellen Berechtigungen beschreibbar ist
• Ausgabe in XML und HTML zusätzlich zur Standardausgabe (Prozessname:Ergebnis)
• Möglichkeit, alle Prozesse oder eine bestimmte PID zu scannen
• Auswahl der zu scannenden Speicherbereiche
• Anzeige detaillierter Prozessinformationen
• Möglichkeit, Prozessumgebungsdateien zu scannen
• Speicherdumps entfernen automatisch Unicode-Zeichen, was die Verarbeitung mit anderen Tools oder manuell ermöglicht

Erste Schritte

1. Herunterladen: git clone https://github.com/rek7/mXtract
2. Kompilieren: cd mXtract && sh compile.sh

Dies erstellt das Verzeichnis bin/ und kompiliert die Binärdatei als mxtract.

Befehle

$ ./mxtract -h
           __  ___                  _     { V1.2 }
  _ __ ___ \ \/ / |_ _ __ __ _  ___| |_ 
 | '_ ` _ \ \  /| __| '__/ _` |/ __| __|
 | | | | | |/  \| |_| | | (_| | (__| |_ 
 |_| |_| |_/_/\_\\__|_|  \__,_|\___|\__|  https://github.com/rek7/mXtract
Usage: ./mxtract [args]
General:
        -v      Enable Verbose Output
        -s      Suppress Banner
        -h      Help
        -c      Suppress Colored Output
Target and Regex:
        -i      Show Detailed Process/User Info
        -a      Scan all Memory Ranges not just Heap/Stack
        -e      Scan Process Environment Files
        -w      Check if Memory Range is Writable
        -r=     Regex Database to Use
        -p=     Specify Single PID to Scan
Output:
        -x      Format Regex Results to XML
        -r      Format Regex Results to an HTML Document
        -wm     Write Raw Memory to File Default Directory is: 'pid/'
        -wi     Write Process Info to Beginning of File (Used in Conjunction with -wm)
        -wr     Write Regex Output to File (Will Appear in the Output Directory)
        -f=     Regex Results Filename Default is: 'regex_results.txt'
        -d=     Custom Ouput Directory
Either -r= or -wm needed

Beispielnutzung

$ ./mxtract -wm -wr -e -i -d=/tmp/output/ -r=example_regexes.db

Vorgestellt auf:

• https://www.kitploit.com/2019/03/mxtract-memory-extractor-analyzer.html
• https://blog.hackersonlineclub.com/2019/03/mxtract-opensource-linux-based-memory.html
• https://firmwaresecurity.com/2019/03/22/mxtract-linux-based-tool-that-analyses-and-dumps-memory/
• https://twitter.com/TheHackersNews/status/1108987907711352833
• https://twitter.com/binitamshah/status/1109832206220963841
• https://twitter.com/Dinosn/status/1108958417354252289