🔪 Dismember

Dismember est un outil en ligne de commande pour Linux qui peut être utilisé pour scanner la mémoire de tous les processus (ou de certains en particulier) à la recherche de secrets courants et d'expressions régulières personnalisées, entre autres.

Il deviendra éventuellement une boîte à outils complète pour /proc.

En utilisant la commande grep, il peut faire correspondre une expression régulière sur toute la mémoire de tous les processus (accessibles). Cela pourrait être utilisé pour trouver des données sensibles en mémoire, identifier un processus par quelque chose inclus dans sa mémoire, ou interroger la mémoire d'un processus pour des informations intéressantes.

De nombreux motifs intégrés sont inclus via la commande scan, qui fonctionne effectivement comme un scanner de secrets contre la mémoire de votre machine.

Dismember peut être utilisé pour rechercher la mémoire de tous les processus auxquels il a accès, donc l'exécuter en tant que root est la méthode la plus efficace.

Des commandes sont également incluses pour lister les processus, explorer l'état des processus et les informations connexes, dessiner des arbres de processus, et plus encore...

Commandes principales

Commandes utilitaires

Installation

Téléchargez un binaire depuis la dernière version et ajoutez-le à votre PATH.

Exemples d'utilisation

Rechercher un motif dans un processus par PID

# search memory owned by process 1234
dismember grep -p 1234 'the password is .*'

Rechercher un motif dans un processus par nom

# search memory owned by processes named "nginx" for a login form submission
dismember grep -n nginx 'username=liamg&password=.*'

Rechercher un motif dans tous les processus

# find a github api token across all processes
dismember grep 'gh[pousr]_[0-9a-zA-Z]{36}'

Rechercher des secrets en mémoire dans tous les processus

# search all accessible memory for common secrets
dismember scan

FAQ

Toutes ces informations ne se trouvent-elles pas simplement dans /proc ?

À peu près. Dismember se contente de les lire et de les présenter pour la plupart. Si vous pouvez vous contenter de grep whatever /proc/[pid]/blah alors allez-y ! J'ai construit cela comme une expérience éducative parce que je n'arrivais pas à dormir une nuit et que je suis resté éveillé tard à lire les pages de manuel de proc (je mène un style de vie extrêmement rock 'n' roll). Ce n'est pas un remplacement des outils existants, mais cela peut peut-être les compléter.

Savez-vous à quel point certaines de ces commandes semblent horribles lorsqu'elles sont lues hors contexte ?

Oui.