mXtract

mXtract es una herramienta de código abierto basada en Linux que analiza y vuelca la memoria. Está desarrollada como una herramienta de pruebas de penetración; su propósito principal es escanear la memoria en busca de claves privadas, direcciones IP y contraseñas mediante expresiones regulares. Recuerde, sus resultados solo serán tan buenos como sus expresiones regulares.

Capturas de pantalla

Escaneo con modo verbose y una expresión regular simple de IP, escaneando todos los segmentos de datos, mostrando información del proceso y escaneando archivos de entorno.

Escaneo con modo verbose y una expresión regular simple de IP, escaneando solo el heap y la pila, mostrando información del proceso y escaneando archivos de entorno.

Escaneo sin modo verbose, con una expresión regular simple de IP, mostrando información del proceso y escaneando archivos de entorno.

¿Por qué volcar directamente desde la memoria?

En la mayoría de los entornos Linux, los usuarios pueden acceder a la memoria de los procesos. Esto permite a los atacantes recolectar credenciales, claves privadas o cualquier cosa que no debería verse pero que un programa está procesando en texto claro.

Características

• Capacidad para introducir listas de expresiones regulares
• Visualización clara y legible
• Verificar si el rango de memoria es escribible con los permisos actuales
• Salida en XML y HTML junto con la salida predeterminada (nombre del proceso:resultado)
• Capacidad de escanear en masa todos los procesos o un PID específico
• Capacidad de elegir secciones de memoria para escanear
• Capacidad de mostrar información detallada del proceso
• Capacidad de escanear archivos de entorno del proceso
• Los volcados de memoria eliminan automáticamente caracteres Unicode, lo que permite el procesamiento con otras herramientas o manualmente

Primeros pasos

1. Descargar: git clone https://github.com/rek7/mXtract
2. Compilar: cd mXtract && sh compile.sh

Esto creará el directorio bin/ y compilará el binario como mxtract.

Comandos

$ ./mxtract -h
           __  ___                  _     { V1.2 }
  _ __ ___ \ \/ / |_ _ __ __ _  ___| |_ 
 | '_ ` _ \ \  /| __| '__/ _` |/ __| __|
 | | | | | |/  \| |_| | | (_| | (__| |_ 
 |_| |_| |_/_/\_\\__|_|  \__,_|\___|\__|  https://github.com/rek7/mXtract
Usage: ./mxtract [args]
General:
        -v      Enable Verbose Output
        -s      Suppress Banner
        -h      Help
        -c      Suppress Colored Output
Target and Regex:
        -i      Show Detailed Process/User Info
        -a      Scan all Memory Ranges not just Heap/Stack
        -e      Scan Process Environment Files
        -w      Check if Memory Range is Writable
        -r=     Regex Database to Use
        -p=     Specify Single PID to Scan
Output:
        -x      Format Regex Results to XML
        -r      Format Regex Results to an HTML Document
        -wm     Write Raw Memory to File Default Directory is: 'pid/'
        -wi     Write Process Info to Beginning of File (Used in Conjunction with -wm)
        -wr     Write Regex Output to File (Will Appear in the Output Directory)
        -f=     Regex Results Filename Default is: 'regex_results.txt'
        -d=     Custom Ouput Directory
Either -r= or -wm needed

Ejemplo de uso

$ ./mxtract -wm -wr -e -i -d=/tmp/output/ -r=example_regexes.db

Destacado en:

• https://www.kitploit.com/2019/03/mxtract-memory-extractor-analyzer.html
• https://blog.hackersonlineclub.com/2019/03/mxtract-opensource-linux-based-memory.html
• https://firmwaresecurity.com/2019/03/22/mxtract-linux-based-tool-that-analyses-and-dumps-memory/
• https://twitter.com/TheHackersNews/status/1108987907711352833
• https://twitter.com/binitamshah/status/1109832206220963841
• https://twitter.com/Dinosn/status/1108958417354252289