Awesome GitHub RepositoriesProcess Memory Scanners

GEF is a Python-based extension for GDB that serves as a framework for binary analysis, exploit development, and low-level debugging. It functions as a dynamic analysis extension designed to assist in reverse engineering workflows and malware analysis by enhancing the debugger's ability to inspect process state and memory. The project is distinguished by its specialized heap analysis tools, which allow for the inspection of glibc heap arenas, bins, and chunks to detect memory corruption. It also provides a dedicated toolkit for exploit development, including cyclic pattern generation for offs

Peda ist eine Sicherheits-Tool-Suite und ein Exploit-Development-Framework für Binäranalyse, Debugger-Automatisierung und Speicherinspektion. Es fungiert als eine Reihe von Python-Skripten, die einen Debugger erweitern, um die Analyse kompilierter Dateien und die Inspektion des Prozessspeichers zu automatisieren. Das Projekt bietet spezialisierte Dienstprogramme für die Forschung zu Speicherfehlern, einschließlich eines Payload-Generators zur Erstellung zyklischer Muster, um Pufferüberläufe zu entdecken, sowie eines Gadget-Finders, um Return-Oriented-Programming-Sequenzen (ROP) innerhalb von Binärdateien zu lokalisieren. Es unterscheidet sich durch ein Visualisierungstool, das rohe Register-, Disassembly- und Speicherdaten in farbcodierten Text umwandelt, um die Analyse von CPU-Zuständen zu vereinfachen. Das Framework deckt ein breites Spektrum an Funktionen ab, einschließlich binärer Sicherheitsanalyse zur Erkennung von Schutzmechanismen, regulärer Speicherscans und der Fähigkeit, Prozessumgebungen direkt aus dem System-Kernel abzubilden. Es enthält zudem Tools zur Modifikation von Speicheradressen und zur Generierung von Shellcode-Vorlagen.

Blackbone ist eine Sammlung spezialisierter Tools für Speicherscans, Prozessinjektion und Kernel-Treiber-Schnittstellen, die zur Manipulation der Windows-Ausführungsumgebung verwendet werden. Es bietet ein Framework für die Ausführung von Remote-Code, das Mapping von Portable-Executable-Images und die Verwaltung von Threads über verschiedene Prozessgrenzen hinweg. Das Projekt enthält einen Kernel-Speichertreiber für den Zugriff auf den Kernelspeicher und die Änderung von Handle-Rechten, um Allokationen vor der Erkennung im User-Mode zu verbergen. Zudem bietet es eine Bibliothek zum Abfangen von Funktionsaufrufen in Remote-Prozessen mittels Software-Interrupts und Hardware-Breakpoints. Das Toolkit deckt umfassendere Funktionen der virtuellen Speichermanipulation ab, wie das Lesen, Schreiben und Allokieren von Speicher in lokalen oder Remote-Prozessen. Es bietet zudem Utilities für die Suche nach Speichermustern, um spezifische Byte-Sequenzen zu lokalisieren, sowie ein Modulmanagement für das Injizieren oder Entfernen von Binärdateien.

HyperDbg is a hardware-assisted kernel-mode debugging platform that leverages virtualization to monitor and control system execution. By utilizing hypervisor-level primitives, it enables deep system analysis and instrumentation without relying on standard operating system debugging interfaces. The framework provides a comprehensive environment for inspecting both kernel and user-mode processes, allowing for granular control over execution flow and system state. The project distinguishes itself through a transparent debugging layer designed to remain invisible to the target environment. It emp

Velociraptor is a digital forensics and incident response platform, endpoint detection and response system, and visibility tool. It provides a query engine and remote forensic collector used to hunt for indicators of compromise and perform triage across a fleet of hosts. The system is distinguished by its specialized query language for interrogating host state and parsing binary files. It features a notebook environment that combines markdown documentation with executable query cells to standardize investigative workflows and enable collaborative reporting. The platform covers a wide range o

pe-sieve is a set of diagnostic tools for scanning Windows process memory to identify malicious implants, shellcode, and hooks. It functions as an in-memory implant detector, malware unpacker, and process callstack analyzer designed to locate and dump memory patches and injected code from running processes. The project identifies advanced evasion techniques, such as process hollowing and reflective injection, by verifying portable executable structures in memory. It distinguishes itself by analyzing process callstacks to detect anomalies and redirections and by reconstructing executable heade

PINCE is a dynamic debugger, instruction tracer, and memory scanner designed for the analysis and manipulation of running processes. It functions as a process memory manipulator and editor, allowing for the identification, modification, and monitoring of values within a target application's active memory. The tool distinguishes itself through memory pointer analysis, tracing addresses and offsets to locate static pointers that lead to dynamic data across different sessions. It also enables the execution of internal functions within a running process by manipulating the instruction pointer and