内存转储与提取

何时使用 / 何时不用

• 用：任何需要读进程内存的任务（找密钥/解密数据、脱壳后提取干净样本、DEX 提取）；进程已死后的 core 分析；attach 被禁时的兜底
• 不用：实时交互调试（那是 [[re-gdb]] / [[re-lldb]] / [[re-x64dbg]] 的活）
• 不用：静态可得的字符串/结构（静态优先）

工具准备

参考 [[re-analyze/platform-tips]]「直读 vs 转储」决策表与 Linux 内存转储极端段——默认转储优先，直读仅特例。

gdb / gcore（转储主力）

• Linux: apt install gdb / dnf install gdb / pacman -S gdb（gcore 随附）
• WSL: Linux 包
• 验证: gcore --help / gdb --version

gdb core 分析工具