mnemosyne

Mnemosyne — это универсальный инструмент для сканирования памяти на базе Windows.

Он сканирует адресное пространство памяти процесса на предмет наличия искомой строки или регулярного выражения (unicode и ascii), и если они найдены, выводит их либо в stdout, либо в файл, либо в сокет удалённого слушателя.

Утилита полезна для сканирования памяти процесса, в качестве пост-эксплуатационного POC, механизма динамического анализа вредоносных программ, инструмента инструментирования при фаззинге, а также во многих других областях применения.

Инструмент непрерывно циклически сканирует процесс (или все запущенные процессы), поскольку память динамична и подвержена быстрым изменениям; поэтому такой циклический обход может оказаться более полезным для выявления конкретных интересующих данных в памяти.

Он использует только нативные вызовы Win32 API, поэтому не имеет зависимостей и работает от Windows 2000 до Windows 10 (для более старых платформ потребуется компиляция под различные версии .NET).

Основное ограничение касается защищённых процессов (Protected Processes): Mnemosyne не сможет получить доступ к виртуальной памяти защищённого процесса, поэтому такие процессы будут пропущены без сканирования.

Запустите Mnemosyne.exe для получения полной информации об использовании.