maplelattte/linux-mem-extractor

# Linux 活动进程内存提取器 一款使用 Python 编写的轻量级应急响应与内存取证 CLI 工具。它通过直接解析 `/proc/[pid]/maps` 中的虚拟内存布局，并从 `/proc/[pid]/mem` 中提取活动内存工件（artifact），来检查 Linux 系统上正在运行的进程，无需依赖外部内核驱动或繁重的第三方依赖。 ## 核心功能 - **虚拟内存映射：** 解析 `/proc/[pid]/maps` 以定位可读的内存区域（heap、stack、匿名映射、共享库）。 - **直接内存检查：** 通过 `/proc/[pid]/mem` 直接定位并读取进程内存缓冲区。 - **工件提取：** 过滤并提取可打印的 ASCII 字符串、内存中的 token、系统路径和环境变量。 - **安全边界：** 自动跳过超大的虚拟内存分配（>10MB），以确保在实时分析期间的响应速度。 ## 前置条件 - Linux OS（原生、WSL2 或 VM） - Python 3.x - Root/`sudo` 权限（跨进程边界读取 `/proc/[pid]/mem` 时必需） ## 使用方法 ``` sudo ./mem_extract.py [options] ```

标签：逆向工具