reverse-skills-max: initial public release (restored, redacted, hardened)
This commit is contained in:
baradok609hecl1pq6qi
@@ -0,0 +1,105 @@
|
||||
# 内存转储与提取命令速查与操作序列
|
||||
|
||||
工具族按「默认转储优先」组织：gcore/gdb（转储主力）、maps 与 /proc 文件系统（定址/直读）、grep/strings/python（定向提取）、gdb/eu-stack（core 复盘）、procdump/DumpIt（Windows 分支）。命令与参数以官方文档为准（gdb 手册、linux proc(5) 手册、Sysinternals 文档）。
|
||||
|
||||
## 命令族速查
|
||||
|
||||
### 转储（gcore / gdb）
|
||||
|
||||
- `gcore -o <前缀> <pid>` 按 pid 转储（产物 `<前缀>.<pid>`）；`gcore -a -o <前缀> <pid>` 含所有映射段
|
||||
- `gdb -q -p <pid> -ex 'gcore out' -ex detach -ex quit` 调试器内转储（attach 后可见状态再 dump）
|
||||
- `gcore --help` 验证；产物是单进程 ELF core（含线程/寄存器 notes）
|
||||
- 时机：按明文/代码 materialization 定——单层壳在真实 OEP 附近通常合适，但 OEP 不是通用完成判据（多阶段 loader/按需解密/虚拟化/反射加载/注入/fake OEP 另判，见 SKILL.md 坑「转储时机过早」）
|
||||
|
||||
### maps 定址（/proc）
|
||||
|
||||
- `cat /proc/<pid>/maps > maps.txt` 记录全部映射（地址区间/权限/路径）
|
||||
- `grep -E 'vsyscall|vdso|vvar' maps.txt` 剔除不可读极端段（见 [[re-analyze/platform-tips]] Linux 内存转储极端段）
|
||||
- `awk '$1 ~ /r/ {print $1}' maps.txt` 只保留含读权限的映射区间（提取范围白名单）
|
||||
|
||||
### 定向提取（core 内搜索）
|
||||
|
||||
- `grep -abo $'dex\n035' out` 找 DEX 魔数位置（`-b` 输出字节偏移）
|
||||
- `grep -abo '-----BEGIN' out` 找 PEM 私钥头；`grep -abo $'\x89PNG' out` 找 PNG
|
||||
- `strings -n 8 out | grep -iE 'key|secret|flag|BEGIN'` 通用字符串过滤
|
||||
- `dd if=out of=seg.bin bs=4096 skip=<偏移/4096> count=<页数>` 按块导出区间（对齐页性能好）
|
||||
- python 一次性扫描：`data.find(b'\x89PNG')` 循环取全部命中（见 SKILL.md 步骤 4 示例）
|
||||
|
||||
### 直读（/proc/<pid>/mem 特例）
|
||||
|
||||
- `kill -STOP <pid>` 先停住进程防竞态；`dd if=/proc/<pid>/mem bs=1 skip=<虚拟地址> count=<长度> of=seg.bin 2>/dev/null`（bs=1 慢，小段可用；大段用 python pread 分块）
|
||||
- python: `os.lseek(f.fileno(), <虚拟地址>, os.SEEK_SET)` + `f.read(n)`（见 SKILL.md 步骤 5 示例）；完成后 `kill -CONT <pid>`
|
||||
- 偏移是虚拟地址不是文件偏移；maps 白名单（读权限段）之外的地址读必报错——按 maps 定址再读
|
||||
|
||||
### core 复盘
|
||||
|
||||
- `file out` 确认是 ELF core（`ELF 64-bit LSB core file ...`）
|
||||
- `gdb -q ./target out` → `bt` / `info registers` / `x/gx $rsp` / `info threads`
|
||||
- `eu-stack -e out | head -30` 快速栈回溯（elfutils）
|
||||
- Ghidra: `File > Import File` 导入 core，符号/堆栈线索可用；ELF 结构细节对照 [[re-format-elf]]
|
||||
|
||||
### Windows 分支
|
||||
|
||||
- `procdump -accepteula -ma <pid> out.dmp` 全进程内存 minidump（含托管堆）
|
||||
- DumpIt（Comae，管理员）整机物理内存 .raw → [[re-mem-forensics]]
|
||||
- 分析：[[re-windbg]] 打开 .dmp；[[re-x64dbg]] 命令 `minidump <文件>` 加载
|
||||
|
||||
## 常用操作序列（组合套路）
|
||||
|
||||
### 1. 标准转储流（maps 记录 → 时机确认 → gcore → 验证 → 定向提取）
|
||||
|
||||
```
|
||||
cat /proc/<pid>/maps > maps.txt # 定址基线
|
||||
# 脱壳样本：按明文/代码 materialization 定 dump 点（单层壳常在 OEP 附近，非通用判据）
|
||||
gcore -o out <pid>
|
||||
file out # 确认 ELF core
|
||||
grep -abo $'dex\n035' out | head # 定向提取（密钥/DEX/字符串）
|
||||
strings -n 8 out | grep -iE 'key|secret|flag'
|
||||
# 一次转储满足后续所有定向提取，不重复多次 dump
|
||||
```
|
||||
|
||||
### 2. 直读特例（进程必须保持运行 / 极小区段）
|
||||
|
||||
```
|
||||
kill -STOP <pid>
|
||||
# 从 maps.txt 取目标段起始虚拟地址
|
||||
python3 - <<'EOF'
|
||||
import os
|
||||
f = open(f"/proc/{pid}/mem", "rb")
|
||||
os.lseek(f.fileno(), 0x7f0000000000, os.SEEK_SET)
|
||||
data = f.read(4096); f.close()
|
||||
EOF
|
||||
kill -CONT <pid>
|
||||
```
|
||||
|
||||
### 3. 解密数据即时捕获（动态里的「先保存再继续」）
|
||||
|
||||
```
|
||||
# 在解密循环/校验比较点命中时（调试器内）
|
||||
gdb -q -p <pid> -ex 'gcore out' -ex detach -ex quit # 立即转储
|
||||
grep -abo '-----BEGIN' out # 或直接定向提取明文区段
|
||||
# 确认产物可用后再继续运行——解密数据阶段性的，晚了就没了（见 SKILL.md 坑）
|
||||
```
|
||||
|
||||
### 4. core 复盘（进程已死 / 事后分析）
|
||||
|
||||
```
|
||||
file out
|
||||
gdb -q ./target out # bt / info registers
|
||||
eu-stack -e out | head -30 # 快速栈回溯
|
||||
# Ghidra 导入 core 看反编译与符号；ELF 结构对照 [[re-format-elf]]
|
||||
```
|
||||
|
||||
## 实现教训（内化）
|
||||
|
||||
- 转储前先存 maps：直读/提取的所有地址都以 maps.txt 为基准，别凭记忆写偏移
|
||||
- vsyscall/vdso/vvar 是垃圾页不是 bug：读失败正常，转储后提取跳过，白名单方式直读
|
||||
- 密钥/明文碎片化：先定位加密上下文（[[re-ghidra]] 看调用点）再取数据，纯扫描可能只拿到半个密钥
|
||||
- `gcore` 与 `procdump` 都是进程级镜像，整机取证（[[re-mem-forensics]]）需要 DumpIt/LiME 类整机转储——按目标选层级
|
||||
- ptrace_scope 权限拦是环境问题不是命令问题：root/降级 sysctl 前先确认目标进程归属
|
||||
|
||||
## 使用注意
|
||||
|
||||
- 动态运行样本在沙箱内执行（[[re-analyze/platform-tips]] 最高原则）；转储产物 sha256 存档（[[re-triage]]）
|
||||
- 大 core（数 GB）先 `file` 确认再按需定向提取，别整文件导入工具
|
||||
- 结论与证据（转储时间戳/地址/明文片段）写 [[re-analyze/analysis-contract]]
|
||||
@@ -0,0 +1,40 @@
|
||||
# 内存转储与提取工具特有坑与边界
|
||||
|
||||
## /proc/<pid>/mem 直读坑组
|
||||
|
||||
- **偏移是虚拟地址不是文件偏移**：直接 `open('/proc/<pid>/mem').read()` 从 0 读必报错（偏移非法）——必须按 maps 定址 + SIGSTOP + chunked pread（SKILL.md 坑 3）
|
||||
- **越界读返回 EIO**：读到的地址不在进程映射内（或只读段写）报 `Input/output error`——按 maps 白名单（含 `r` 权限区间）规划读取范围，命中 EIO 先回查 maps
|
||||
- **权限门槛**：非 root 且 `kernel.yama.ptrace_scope=1/2` 时 `/proc/<pid>/mem` 打开即失败（`Permission denied`）——root 或临时 `sysctl kernel.yama.ptrace_scope=0`（用后恢复）
|
||||
- **竞态窗口**：SIGSTOP 前/后进程可能正切换线程、回收页——先 STOP 再读，读完 CONT；多线程目标 STOP 是全进程冻结，读完后及时 CONT 避免影响行为分析
|
||||
|
||||
## core 文件坑组
|
||||
|
||||
- **gcore 是单进程 ELF core，不是整机镜像**：Volatility 的 linux.pslist 等只适用整机镜像（LiME/`dd if=/dev/mem` 类）——gcore 上跑 [[re-mem-forensics]] 流程会失败，进程级枚举用 gdb/eu-stack（SKILL.md 步骤 3 已述）
|
||||
- **vDSO 不可移植**：重建/复现进程镜像时程序跳回原 vDSO 地址或 `call *%gs:0x10` 断掉——vDSO 地址在栈 auxv 的 `AT_SYSINFO`/`AT_SYSINFO_EHDR`，修补 auxv 也不一定能重定位；重建时把 vDSO 相关调用视为必然失效（SKILL.md 坑「vDSO 不可移植」）
|
||||
- **vsyscall/vdso/vvar 读失败是预期**：`[vsyscall]` 只可执行、`[vdso]` 部分页不可读——按 maps 过滤后提取，别当 bug 排查（SKILL.md 坑 1）
|
||||
- **core 可达数 GB**：先 `file` 确认是 ELF core，再按需定向提取；整文件导入 Ghidra 前先评估体积
|
||||
- **gcore 取证分辨率有限**：共享库注入/函数指针重定向难查——深度取证改 ECFS 类内核级转储（core_pattern 挂钩重建 `.symtab`/`.dynsym`）或配合 maps 手工重建（SKILL.md 坑「gcore 取证分辨率」）
|
||||
|
||||
## 时机坑组（过早 / 过晚）
|
||||
|
||||
- **转储过早 = 壳的初始状态**：明文/代码尚未 materialize 时 dump 拿到的是压缩/加密数据——经典单层壳在真实 OEP 附近合适，但 OEP 不是通用完成判据；多阶段 loader / 按需解密 / 虚拟化保护 / 反射加载 / 进程注入 / fake OEP 按「写→执行转移 + 内存保护变化 + payload 头/导入恢复」定 dump 点，必要时多时点快照（SKILL.md 坑 2；[[re-analyze/platform-tips]] 关键经验）
|
||||
- **解密数据见后即弃**：明文是阶段性的——解壳清理、自清除、用后即焚密钥、缓冲区复用都会立刻抹掉；一确认产物立即保存，"先保存再继续"（SKILL.md 坑「看到解密数据」；需要再现回到解密循环调用点，[[re-binary-core]] 方法论 R19）
|
||||
- **转储进程生命周期**：attach 型转储要选对时机点（解密完成、校验比较点命中、C2 握手后）——同一目标不同时机 dump 内容差异巨大，取证记录时间戳
|
||||
|
||||
## 平台坑组
|
||||
|
||||
- **Windows**：procdump 进程级 minidump 与 gcore 同级——Volatility 不适用；整机镜像用 DumpIt/其他内核转储；分析入口 [[re-windbg]] / [[re-x64dbg]]（`minidump` 命令）
|
||||
- **macOS**：无 /proc 与 Linux 式 gcore——进程内存读取用 task_for_pid 类接口（lldb/自定义工具），转储用 [[re-lldb]] 的 `process save-core`（产物为 Mach-O core，`file` 确认格式）
|
||||
- **容器内**：`/proc/<pid>/maps` 看到的是容器 namespace 视角（容器内 pid ≠ 宿主机 pid）——转储先 `ps` 确认 pid 归属（宿主 pid 用 `nsenter` 或宿主机 ps 查）
|
||||
|
||||
## 版本差异
|
||||
|
||||
- **gdb/gcore**：gcore 随 gdb 发布，`-o` 前缀参数长期稳定；gdb 12+ 对 core 的 notes 处理更完整（含 x86_64 AVX 寄存器区）；老 gdb 导出的 core 在新工具链里符号解析可能偏少——核心用新版本，跨版本解析差异以实测为准
|
||||
- **elfutils（eu-stack）**：0.196 实测 `--version` 可用；eu-stack 对 core 内符号化依赖 `.symtab` 保留情况，剥离符号的 core 输出裸地址
|
||||
- **内核 core_pattern**：`core_pattern` 决定崩溃转储是传统 core 还是管道给外部工具（systemd-coredump 等）——分析崩溃转储前先确认来源格式（`coredumpctl info` 可查）
|
||||
|
||||
## 使用注意
|
||||
|
||||
- 动态运行样本在沙箱内执行（[[re-analyze/platform-tips]] 最高原则）
|
||||
- 转储产物与时间戳 sha256 存档（[[re-triage]]）；结论写 [[re-analyze/analysis-contract]]
|
||||
- 版本相关行为（gdb core 格式、/proc 语义）以目标版本实际表现为准
|
||||
Reference in New Issue
Block a user