工具

cenobyte-vincit/memdumper

滥用 macOS 调试器授权和 DYLD_INSERT_LIBRARIES 来转储或搜索正在运行进程的内存，同时将 EDR 归因转移到已签名的辅助二进制文件。

eljoamy/mongobleed-exploit

MongoBleed (CVE-2025-14847) Lab & PoC : A complete educational environment to reproduce the critical unauthenticated memory leak in MongoDB. Includes…

frankwxu/digital-forensics-lab

面向学生和教职员工的免费实操数字取证实验室

rabbitstack/fibratus

实时威胁检测与防护的安全传感器

intezer/linux-explorer

适用于Linux终端的易用型实时取证工具箱

fboldewin/atmmalscan

用于扫描Windows ATM系统的命令行DFIR工具，检测进程内存和磁盘中的恶意软件痕迹，并自动创建内存转储用于取证分析。

kaandemir993/redline-stealer-c2-defender-bypass-payload-analysis

针对 RedLine Stealer 的逆向工程分析，这是一个基于 .NET 的信息窃取程序，使用 C2 域名（198.46.86.63、tempuri.org），绕过 Windows Defender，并提取 7200 KB 的载荷。

pugazhendii22/keepass-exfil-forensics

适用于 TryHackMe DFIR 挑战的网络取证 Writeup 及配套工具：从 PCAP 流量中逆向还原 hex→Base64→XOR 数据外泄链，然后利用 CVE-2023-32784 从进程内存转储中恢复 KeePass 主密码。

werwolv/imhex

🔍 一款为逆向工程师、程序员以及那些珍视凌晨3点工作时视网膜的人而设计的十六进制编辑器。

dnspy/dnspy

.NET debugger and assembly editor

cheat-engine/cheat-engine

Cheat Engine. 一个专注于修改的开发环境。

winsiderss/systeminformer

实时Windows系统监控工具，具备高级进程、网络和磁盘分析，堆栈跟踪调试，恶意软件检测以及服务管理功能。便携且免费。

rshipp/awesome-malware-analysis

取消警察经费。

alessandroz/lazagne

跨平台凭据恢复工具，可从浏览器、邮件客户端、数据库、系统机制和网络服务中提取存储的密码，用于安全审计和后渗透。

dnspyex/dnspy

Unofficial revival of the well known .NET debugger and assembly editor, dnSpy

sensepost/objection

基于Frida的运行时移动探索工具包，用于评估iOS和Android应用安全性。绕过SSL pinning，转储钥匙串，操纵堆对象，并在未越狱的情况下修补内存。

mandiant/flare-vm

一套适用于Windows系统的软件安装脚本集合，让您能够轻松地在虚拟机上设置并维护逆向工程环境。