mXtract

mXtract è uno strumento open source basato su Linux che analizza e scarica la memoria. È sviluppato come strumento di penetration testing; il suo scopo principale è scansionare la memoria alla ricerca di chiavi private, IP e password utilizzando espressioni regolari. Ricorda: i tuoi risultati sono validi solo quanto le tue regex.

Screenshot

Scansione con verbose e con una semplice regex per IP, scansione di ogni segmento di dati, visualizzazione delle informazioni di processo e scansione dei file di ambiente.

Scansione con verbose e con una semplice regex per IP, scansione solo di heap e stack, visualizzazione delle informazioni di processo e scansione dei file di ambiente.

Scansione senza verbose, e con una semplice regex per IP, visualizzazione delle informazioni di processo e scansione dei file di ambiente.

Perché scaricare direttamente dalla memoria?

Nella maggior parte degli ambienti Linux, gli utenti possono accedere alla memoria dei processi; questo permette agli aggressori di raccogliere credenziali, chiavi private o qualsiasi cosa non dovrebbe essere visibile, ma che viene elaborata da un programma in chiaro.

Funzionalità

• Possibilità di inserire elenchi di regex
• Visualizzazione chiara e leggibile
• Verifica se un intervallo di memoria è scrivibile con i permessi attuali
• Output in XML e HTML insieme all'output predefinito (nome_processo:risultato)
• Possibilità di scansionare in massa tutti i processi o un PID specifico
• Possibilità di scegliere le sezioni di memoria da scansionare
• Possibilità di visualizzare informazioni dettagliate sul processo
• Possibilità di scansionare i file di ambiente del processo
• I dump di memoria rimuovono automaticamente i caratteri Unicode, consentendo l'elaborazione con altri strumenti o manualmente

Per iniziare

1. Download: git clone https://github.com/rek7/mXtract
2. Compilazione: cd mXtract && sh compile.sh

Questo creerà la directory bin/ e compilerà il binario come mxtract.

Comandi

$ ./mxtract -h
           __  ___                  _     { V1.2 }
  _ __ ___ \ \/ / |_ _ __ __ _  ___| |_ 
 | '_ ` _ \ \  /| __| '__/ _` |/ __| __|
 | | | | | |/  \| |_| | | (_| | (__| |_ 
 |_| |_| |_/_/\_\\__|_|  \__,_|\___|\__|  https://github.com/rek7/mXtract
Usage: ./mxtract [args] [opzioni]
Generali:
        -v      Abilita output verbose
        -s      Sopprime il banner
        -h      Aiuto
        -c      Sopprime l'output colorato
Target e Regex:
        -i      Mostra informazioni dettagliate su processo/utente
        -a      Scansiona tutti gli intervalli di memoria, non solo Heap/Stack
        -e      Scansiona i file di ambiente del processo
        -w      Verifica se l'intervallo di memoria è scrivibile
        -r=     Database di regex da utilizzare
        -p=     Specifica un singolo PID da scansionare
Output:
        -x      Formatta i risultati delle regex in XML
        -r      Formatta i risultati delle regex in un documento HTML
        -wm     Scrive la memoria raw in un file (directory predefinita: 'pid/')
        -wi     Scrive le informazioni del processo all'inizio del file (usato insieme a -wm)
        -wr     Scrive l'output delle regex in un file (apparirà nella directory di output)
        -f=     Nome del file dei risultati delle regex (predefinito: 'regex_results.txt')
        -d=     Directory di output personalizzata
È necessario -r= o -wm

Esempio di utilizzo

$ ./mxtract -wm -wr -e -i -d=/tmp/output/ -r=example_regexes.db

In evidenza su:

• https://www.kitploit.com/2019/03/mxtract-memory-extractor-analyzer.html
• https://blog.hackersonlineclub.com/2019/03/mxtract-opensource-linux-based-memory.html
• https://firmwaresecurity.com/2019/03/22/mxtract-linux-based-tool-that-analyses-and-dumps-memory/
• https://twitter.com/TheHackersNews/status/1108987907711352833
• https://twitter.com/binitamshah/status/1109832206220963841
• https://twitter.com/Dinosn/status/1108958417354252289