用于分析RAM转储以查找正在运行的进程、网络连接和隐藏恶意软件的工具。
kaandemir993/dropper-gcleaner-c2-infrastructure-kernel-driver-powershell-conhost-payload-analysis针对 Dropper GCleaner 的逆向工程分析，该恶意软件使用具有弹性的 C2 基础架构、内核驱动程序加载、PowerShell/Conhost 执行以及 .rdata 载荷提取。包含 30+ 个 C2 域名、NtLoadDriver 及完整 API 列表。
cenobyte-vincit/memdumper滥用 macOS 调试器授权和 DYLD_INSERT_LIBRARIES 来转储或搜索正在运行进程的内存，同时将 EDR 归因转移到已签名的辅助二进制文件。
orlikoski/skadi收集、处理并利用来自 MacOS、Windows 和 Linux 的主机数据进行威胁狩猎
eljoamy/mongobleed-exploitMongoBleed (CVE-2025-14847) Lab & PoC : A complete educational environment to reproduce the critical unauthenticated memory leak in MongoDB. Includes…
dnspyex/dnspyUnofficial revival of the well known .NET debugger and assembly editor, dnSpy
volatilityfoundation/volatilityAn advanced memory forensics framework
frankwxu/digital-forensics-lab面向学生和教职员工的免费实操数字取证实验室
intezer/linux-explorer适用于Linux终端的易用型实时取证工具箱
fboldewin/atmmalscan用于扫描Windows ATM系统的命令行DFIR工具，检测进程内存和磁盘中的恶意软件痕迹，并自动创建内存转储用于取证分析。
devianntsec/cve-2021-4034Advanced Linux Privilege Escalation research on CVE-2021-4034 (PwnKit). Features an optimized exploit with 7 polymorphic payload modes (Interactive…
darnellwashingtonjr94-art/sandb0x-xtract0r自动化跨平台沙箱，可在隔离的虚拟机/模拟器中引爆可疑文件，捕获网络与内存工件，并生成 LLM 报告。
kaandemir993/redline-stealer-c2-defender-bypass-payload-analysis针对 RedLine Stealer 的逆向工程分析，这是一个基于 .NET 的信息窃取程序，使用 C2 域名（198.46.86.63、tempuri.org），绕过 Windows Defender，并提取 7200 KB 的载荷。
pugazhendii22/keepass-exfil-forensics适用于 TryHackMe DFIR 挑战的网络取证 Writeup 及配套工具：从 PCAP 流量中逆向还原 hex→Base64→XOR 数据外泄链，然后利用 CVE-2023-32784 从进程内存转储中恢复 KeePass 主密码。
werwolv/imhex🔍 一款为逆向工程师、程序员以及那些珍视凌晨3点工作时视网膜的人而设计的十六进制编辑器。
