内存取证与威胁情报

完整工作流

1. 转储来源：默认转储优先——先确认有没有现成 dump。按取证层级分流：整机镜像（LiME/AVML/崩溃转储等，Volatility 可解析）→ 内存取证分支；进程级 gcore 产物是单进程 ELF core（无内核结构，Volatility 整机插件不可解析）→ 只走进程级复盘（gdb/eu-stack，见 [[re-memdump]]（能力：memory-dump） 步骤 3），不进 [[re-mem-forensics]]（能力：memory-forensics）。转储按 [[re-memdump]]（能力：memory-dump） 执行（转储时机按明文/代码 materialization 定——单层壳在真实 OEP 附近通常合适，OEP 非通用判据；转储前按 /proc/<pid>/maps 过滤 [vsyscall]/[vdso]，见 [[re-analyze/platform-tips]]「直读 vs 转储」决策表与 Linux 内存转储极端段）
2. 内存取证：[[re-mem-forensics]]（能力：memory-forensics） —— 确认 dump 来源与架构 → 进程列表（pslist）→ 网络连接（netscan）→ 注入/异常（dlllist/malfind）→ 凭据线索（hashdump/lsadump）与可疑对象提取
3. 线索提取：从内存取证产物里整理线索——可疑进程/注入地址/网络回连/凭据哈希/提取出的对象（模块、shellcode、明文密钥），每项记证据路径与时间戳（取证要求可追溯，见 [[re-analyze/platform-tips]]）
4. 情报关联：[[re-ti]]（能力：threat-intel） —— 用线索中的哈希/域名/IP 查 VirusTotal / Any.run / hybrid-analysis，家族与团伙关联，结果进 [[re-ioc]]（能力：threat-intel） 的 IOC 列表与报告

每步产物（dump、插件输出、提取对象）按 sha256 + 路径存档，供报告与 [[re-ioc]]（能力：threat-intel） 引用。

何时用哪个原子技能（选择树）

按输入特征/目标分支：