密钥与口令提取

何时使用 / 何时不用

• 用：需要解密数据/流量但不知道密钥时（静态优先：硬编码 → 资源 → 导入表；动态：内存转储）
• 用：确认样本是否硬编码了密钥/口令（配置提取）
• 用：密钥是运行时派生的（PBKDF/HKDF）需要还原派生过程
• 不用：算法都还没确认（先 [[re-crypto-id]]）
• 不用：密钥通过外部配置/服务器下发（没有本地密钥可提取——诚实告诉用户，见坑 2）
• 不用：只做静态格式分析（[[re-triage]] / [[re-format-pe]]）

工具准备

所有工具先验证再使用。静态搜索可免沙箱；内存转储/动态环节按 [[re-memdump]] 默认转储优先 + [[re-analyze/platform-tips]] 最高原则（运行样本进沙箱）。

strings —— 可打印串快速扫描（全平台）