| 命令 | strings -a -n 8 mem.raw | grep -E ... |
|---|---|
| 目标 | URL、IP、域名、矿池与 C2 特征 |
| 关联 | 结合 pslist/netscan 定位承载进程 |
| 提示 | 大镜像扫描耗时，可分块处理后合并 |
提取网络线索
提取网络线索
strings -a -n 8 /evidence/mem.raw | grep -aE 'https?://|([0-9]{1,3}\.){3}[0-9]{1,3}' | sort -u | head -n 40
strings -a -n 8 /evidence/mem.raw | grep -a 'pool' | sort -u | head -n 20strings 噪音大：先归类域名与 URL，再与进程和连接互证，别直接当 IoC 上报。