memscan

在进程的内存空间中搜索字符串、正则表达式、磁条卡磁道中的信用卡号码

内存/进程扫描器
由 Matt Lewis 编写，NCC Group 2014
由 Tom Watson 更新，NCC Group 2015
感谢 Jesse Bullock 提供了许多好主意

由 NCC Group Plc 以开源形式发布 - http://www.nccgroup.com/

由 Matt Lewis 和 Tom Watson 开发，matt [dot] lewis [at] nccgroup [dot] com & tom [dot] watson [at] nccgroup [dot] com

http://www.github.com/nccgroup/memscan

在 AGPL 下发布，更多信息请参阅 LICENSE

简介 - 持续扫描进程内存空间，查找搜索字符串（Unicode 和 ASCII）、正则表达式模式、信用卡数据或磁条数据，如果找到，则将这些数据输出到标准输出、文件或发送到远程监听器的套接字

适用于对进程进行内存抓取、后渗透 POC 或用于模糊测试期间的插桩工具。

TODO - 大量重复代码可以重构提取出来

代码改编自 http://www.codeproject.com/Articles/716227/Csharp-How-to-Scan-a-Process-Memory
原始代码基于 CPOL 许可：http://www.codeproject.com/info/cpol10.aspx

用法

memscan
-string -s [pid] [Remote IP] [Remote Port] [delay] [width] [search term]
-string -f [pid] [filename] [delay] [width] [search term]
-string -o [pid] [delay] [width] [search term]
-regex -s [pid] [Remote IP] [Remote Port] [delay] [width] [regex]
-regex -f [pid] [filename] [delay] [width] [regex]
-regex -o [pid] [delay] [width] [regex]
-ccdata -s [pid] [Remote IP] [Remote Port] [delay]
-ccdata -f [pid] [filename] [delay]
-ccdata -o [pid] [delay]
-msdata -s [pid] [Remote IP] [Remote Port] [delay]
-msdata -f [pid] [filename] [delay]
-msdata -o [pid] [delay]
-proclist

标志定义：
-string 搜索字符串
-regex 搜索正则表达式模式
-ccdata 搜索信用卡数据
-msdata 搜索磁条数据
-s 将输出写入套接字
-f 将输出写入文件
-o 将输出写入终端
delay 每次内存块扫描之间等待的时间
width 搜索词前后显示的数据量
string 要在内存中查找的字符串（允许空格）
regex 要在内存中查找的正则表达式（例如 3[47][0-9]{13}）