mXtract

mXtract — это инструмент с открытым исходным кодом на базе Linux, который анализирует и дампит память. Он разработан как инструмент для тестирования на проникновение, его основная цель — сканировать память на предмет закрытых ключей, IP-адресов и паролей с помощью регулярных выражений. Помните: ваши результаты настолько хороши, насколько хороши ваши регулярные выражения.

Скриншоты

Сканирование с подробным выводом и простым регулярным выражением для IP, сканирование каждого сегмента данных, отображение информации о процессе и сканирование файлов окружения.

Сканирование с подробным выводом и простым регулярным выражением для IP, сканирование только кучи и стека, отображение информации о процессе и сканирование файлов окружения.

Сканирование без подробного вывода, с простым регулярным выражением для IP, отображение информации о процессе и сканирование файлов окружения.

Зачем дампить напрямую из памяти?

В большинстве сред Linux пользователи могут получить доступ к памяти процессов, что позволяет злоумышленникам собирать учетные данные, закрытые ключи или все, что не должно быть видно, но обрабатывается программой в открытом виде.

Возможности

• Возможность ввода списков регулярных выражений
• Четкий и читаемый вывод
• Проверка, доступен ли диапазон памяти для записи с текущими правами
• Вывод в XML и HTML вместе с выводом по умолчанию (имя процесса:результат)
• Возможность массового сканирования всех процессов или конкретного PID
• Возможность выбора разделов памяти для сканирования
• Возможность отображения подробной информации о процессе
• Возможность сканирования файлов окружения процессов
• Дампы памяти автоматически удаляют символы Unicode, что позволяет обрабатывать их другими инструментами или вручную

Начало работы

1. Загрузка: git clone https://github.com/rek7/mXtract
2. Компиляция: cd mXtract && sh compile.sh

Это создаст каталог bin/ и скомпилирует бинарный файл как mxtract.

Команды

$ ./mxtract -h
           __  ___                  _     { V1.2 }
  _ __ ___ \ \/ / |_ _ __ __ _  ___| |_ 
 | '_ ` _ \ \  /| __| '__/ _` |/ __| __|
 | | | | | |/  \| |_| | | (_| | (__| |_ 
 |_| |_| |_/_/\_\\__|_|  \__,_|\___|\__|  https://github.com/rek7/mXtract
Usage: ./mxtract [args]
General:
        -v      Enable Verbose Output
        -s      Suppress Banner
        -h      Help
        -c      Suppress Colored Output
Target and Regex:
        -i      Show Detailed Process/User Info
        -a      Scan all Memory Ranges not just Heap/Stack
        -e      Scan Process Environment Files
        -w      Check if Memory Range is Writable
        -r=     Regex Database to Use
        -p=     Specify Single PID to Scan
Output:
        -x      Format Regex Results to XML
        -r      Format Regex Results to an HTML Document
        -wm     Write Raw Memory to File Default Directory is: 'pid/'
        -wi     Write Process Info to Beginning of File (Used in Conjunction with -wm)
        -wr     Write Regex Output to File (Will Appear in the Output Directory)
        -f=     Regex Results Filename Default is: 'regex_results.txt'
        -d=     Custom Ouput Directory
Either -r= or -wm needed

Пример использования

$ ./mxtract -wm -wr -e -i -d=/tmp/output/ -r=example_regexes.db

Упоминается в:

• https://www.kitploit.com/2019/03/mxtract-memory-extractor-analyzer.html
• https://blog.hackersonlineclub.com/2019/03/mxtract-opensource-linux-based-memory.html
• https://firmwaresecurity.com/2019/03/22/mxtract-linux-based-tool-that-analyses-and-dumps-memory/
• https://twitter.com/TheHackersNews/status/1108987907711352833
• https://twitter.com/binitamshah/status/1109832206220963841
• https://twitter.com/Dinosn/status/1108958417354252289