memscan

プロセスのメモリ空間内で、文字列、正規表現、磁気ストライプカードのトラックに含まれるクレジットカード番号を検索します。

メモリ/プロセススキャナ
著者: Matt Lewis, NCC Group 2014
更新者: Tom Watson, NCC Group 2015
Jesse Bullock 氏の数多くの素晴らしいアイデアに感謝します。

NCC Group Plc によってオープンソースとして公開 - http://www.nccgroup.com/

開発者: Matt Lewis と Tom Watson、matt [dot] lewis [at] nccgroup [dot] com & tom [dot] watson [at] nccgroup [dot] com

http://www.github.com/nccgroup/memscan

AGPL のもとで公開されています。詳細は LICENSE を参照してください。

概要 - プロセスのメモリ空間をスキャンし続け、検索文字列 (unicode および ascii)、正規表現パターン、クレジットカードデータ、または磁気ストライプデータを探します。見つかった場合、それらを stdout、ファイル、またはリモートリスナーへのソケットのいずれかに出力します。

プロセスのメモリスクレイピング、ポストエクスプロイテーションのPOC、またはファジング中に使用するインストルメンテーションツールとして有用です。

TODO - 重複したコードが多数あるため、リファクタリングで削除できる可能性があります。

コードは http://www.codeproject.com/Articles/716227/Csharp-How-to-Scan-a-Process-Memory から改変しました。
元のコードは CPOL ライセンスです: http://www.codeproject.com/info/cpol10.aspx

使用方法

memscan
-string -s [pid] [Remote IP] [Remote Port] [delay] [width] [search term]
-string -f [pid] [filename] [delay] [width] [search term]
-string -o [pid] [delay] [width] [search term]
-regex -s [pid] [Remote IP] [Remote Port] [delay] [width] [regex]
-regex -f [pid] [filename] [delay] [width] [regex]
-regex -o [pid] [delay] [width] [regex]
-ccdata -s [pid] [Remote IP] [Remote Port] [delay]
-ccdata -f [pid] [filename] [delay]
-ccdata -o [pid] [delay]
-msdata -s [pid] [Remote IP] [Remote Port] [delay]
-msdata -f [pid] [filename] [delay]
-msdata -o [pid] [delay]
-proclist

フラグ定義:
-string search for string
-regex search for regex pattern
-ccdata search for credit card data
-msdata search for magenetic stripe data
-s write output to socket
-f write output to a file
-o write output to terminal
delay time to wait between each memchunk scan
width amount of data to display before and after search term
string to look for in memory (spaces allowed)
regex to look for in memory (e.g. 3[47][0-9]{13})