memscan

Recherche des chaînes, des expressions régulières, des numéros de carte de crédit des pistes de cartes à bande magnétique dans l'espace mémoire d'un processus

Scanner mémoire/processus
Écrit par Matt Lewis, NCC Group 2014
Mis à jour par Tom Watson, NCC Group 2015
Merci à Jesse Bullock pour de nombreuses excellentes idées

Publié en open source par NCC Group Plc - http://www.nccgroup.com/

Développé par Matt Lewis et Tom Watson, matt [dot] lewis [at] nccgroup [dot] com & tom [dot] watson [at] nccgroup [dot] com

http://www.github.com/nccgroup/memscan

Publié sous licence AGPL, voir LICENSE pour plus d'informations

Synopsis - scanne en continu l'espace mémoire d'un processus à la recherche d'une chaîne (unicode et ascii), d'un motif d'expression régulière, de données de carte de crédit ou de données de bande magnétique puis, si trouvées, les envoie vers stdout, un fichier ou une socket vers un listener distant

Utile pour extraire la mémoire d'un processus (memory scraping), comme POC de post-exploitation ou comme outil d'instrumentation lors de fuzzing.

TODO - Beaucoup de code dupliqué pourrait être refactorisé

Code adapté de http://www.codeproject.com/Articles/716227/Csharp-How-to-Scan-a-Process-Memory
Code original sous licence CPOL : http://www.codeproject.com/info/cpol10.aspx

Utilisation

memscan
-string -s [pid] [Remote IP] [Remote Port] [delay] [width] [search term]
-string -f [pid] [filename] [delay] [width] [search term]
-string -o [pid] [delay] [width] [search term]
-regex -s [pid] [Remote IP] [Remote Port] [delay] [width] [regex]
-regex -f [pid] [filename] [delay] [width] [regex]
-regex -o [pid] [delay] [width] [regex]
-ccdata -s [pid] [Remote IP] [Remote Port] [delay]
-ccdata -f [pid] [filename] [delay]
-ccdata -o [pid] [delay]
-msdata -s [pid] [Remote IP] [Remote Port] [delay]
-msdata -f [pid] [filename] [delay]
-msdata -o [pid] [delay]
-proclist

Définition des flags :
-string rechercher une chaîne
-regex rechercher un motif d'expression régulière
-ccdata rechercher des données de carte de crédit
-msdata rechercher des données de bande magnétique
-s écrire la sortie vers une socket
-f écrire la sortie vers un fichier
-o écrire la sortie vers le terminal
delay temps d'attente entre chaque analyse de bloc mémoire
width quantité de données à afficher avant et après le terme recherché
string à rechercher en mémoire (espaces autorisés)
regex à rechercher en mémoire (p. ex. 3[47][0-9]{13})