memscan

프로세스의 메모리 공간에서 문자열, 정규식, 마그네틱 스트라이프 카드 트랙의 신용카드 번호를 검색합니다

메모리/프로세스 스캐너
작성: Matt Lewis, NCC Group 2014
업데이트: Tom Watson, NCC Group 2015
훌륭한 아이디어를 많이 제공한 Jesse Bullock에게 감사드립니다

NCC Group Plc가 오픈 소스로 공개 - http://www.nccgroup.com/

개발: Matt Lewis와 Tom Watson, matt [dot] lewis [at] nccgroup [dot] com & tom [dot] watson [at] nccgroup [dot] com

http://www.github.com/nccgroup/memscan

AGPL 라이선스로 배포됩니다. 자세한 내용은 LICENSE를 참조하세요.

요약 - 프로세스 메모리 공간에서 검색 문자열(유니코드 및 ASCII), 정규식 패턴, 신용카드 데이터 또는 마그네틱 스트라이프 데이터를 계속 스캔한 다음, 발견되면 이를 stdout, 파일 또는 원격 리스너의 소켓으로 출력합니다

프로세스 메모리 스크래핑, 포스트 익스플로잇 POC 또는 퍼징 중에 사용할 계측 도구로 유용합니다.

TODO - 많은 중복 코드를 리팩토링할 수 있음

코드는 http://www.codeproject.com/Articles/716227/Csharp-How-to-Scan-a-Process-Memory 에서 각색했습니다.
원본 코드는 CPOL에 따라 라이선스가 부여됨: http://www.codeproject.com/info/cpol10.aspx

사용법

memscan
-string -s [pid] [Remote IP] [Remote Port] [delay] [width] [search term]
-string -f [pid] [filename] [delay] [width] [search term]
-string -o [pid] [delay] [width] [search term]
-regex -s [pid] [Remote IP] [Remote Port] [delay] [width] [regex]
-regex -f [pid] [filename] [delay] [width] [regex]
-regex -o [pid] [delay] [width] [regex]
-ccdata -s [pid] [Remote IP] [Remote Port] [delay]
-ccdata -f [pid] [filename] [delay]
-ccdata -o [pid] [delay]
-msdata -s [pid] [Remote IP] [Remote Port] [delay]
-msdata -f [pid] [filename] [delay]
-msdata -o [pid] [delay]
-proclist

플래그 정의:
-string search for string
-regex search for regex pattern
-ccdata search for credit card data
-msdata search for magenetic stripe data
-s write output to socket
-f write output to a file
-o write output to terminal
delay time to wait between each memchunk scan
width amount of data to display before and after search term
string to look for in memory (spaces allowed)
regex to look for in memory (e.g. 3[47][0-9]{13})