内存取证

neo23x0/loki

基于IOC和YARA的扫描器，通过文件名正则表达式、YARA签名、哈希匹配以及端点上的C2回连检测，来识别入侵指标。

vmoranv/jshookmcp

面向 AI 代理的搜索优先、配置文件感知逆向工程工作区——一个 MCP 服务器中涵盖 36 个领域的 735 款工具。

glmcdona/process-dump

用于将恶意软件PE文件从内存转储到磁盘进行分析的Windows工具。

p1sec/qcsuper

QCSuper 是一款与基于高通（Qualcomm）芯片的手机和调制解调器通信的工具，除其他功能外，它还能捕获原始的 2G/3G/4G 无线电帧。

simsong/bulk_extractor

这是开发分支。生产下载请访问：

skelsec/pypykatz

纯Python实现的Mimikatz

orlyjamie/mimikittenz

一款用于从内存中提取敏感信息的后渗透PowerShell工具。

frida/frida-gum

用 C 编写的跨平台插桩与内省库

dynamorio/drmemory

用于 Windows、Linux、Mac 和 Android 的内存调试器

apple-oss-distributions/xnu

混合内核，结合了Mach、FreeBSD和IOKit，用于macOS和iOS。提供核心操作系统服务、驱动程序框架以及x86_64和ARM64上的安全策略执行。

fortra/nanodump

LSASS 转储的瑞士军刀

virustotal/yara-x

用 Rust 重写的 YARA。

hasherezade/hollows_hunter

扫描所有正在运行的进程。识别并转储多种潜在的恶意植入物（被替换/植入的PE文件、Shellcode、钩子、内存补丁）。

nikaiw/vmkatz

直接从虚拟机内存快照和虚拟磁盘中提取Windows凭据

awnumar/memguard

用于在内存中存储敏感信息的软件沙盒。

hasherezade/libpeconv

自定义 PE 加载与操作库，用于手动映射、IAT 挂钩、内存转储以及重建导入，以支持恶意软件分析与逆向工程。