المهارات memory-forensics
📦

memory-forensics

مراجعة المحتوى r1 مخاطر عالية ⚙️ الأوامر الخارجية🌐 الوصول إلى الشبكة📁 الوصول إلى نظام الملفات

تحليل تفريغات الذاكرة باستخدام سير عمل جنائي رقمي

تتطلب تحقيقات الذاكرة جمعًا دقيقًا وفرزًا قابلًا للتكرار وتعاملاً محكمًا مع الأدلة. ترشد هذه المهارة تحليل التقاط RAM المصرح به باستخدام Volatility وYARA وstrings وقوائم التحقق الجنائية الرقمية.

يدعم: Claude Codex Code(CC)
⚠️ 38 ضعيف

التثبيت باستخدام Agent لدي

انسخ هذا الطلب إلى Agent لديك. يتضمن صفحة Skill المعتمدة وملف manifest.

طلب الوكيل
Review the Skillstore skill "memory-forensics" from https://skillstore.io/skills/sickn33-memory-forensics.md and its manifest at https://skillstore.io/api/skills/sickn33-memory-forensics/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

يجب أن يواصل Agent عرض خطته وطلب أي تأكيد تفرضه سياسة الأمان.

موارد مهيّأة لـ Agents

استخدم هذه الروابط عندما يحتاج AI Agent أو crawler أو script إلى سياق نظيف بدلًا من قراءة الصفحة كاملة.

تفاصيل Markdown GET /skills/sickn33-memory-forensics.md manifest موقَّع GET /api/skills/sickn33-memory-forensics/manifest lockfile موقَّع GET /api/skills/sickn33-memory-forensics/lockfile

اختبرها

جارٍ استخدام "memory-forensics". لدي صورة ذاكرة Windows وأشتبه في وجود برمجية خبيثة مخفية.

النتيجة المتوقعة:

  • ابدأ بقوائم العمليات ومقارنة شجرة العمليات.
  • راجع مؤشرات العمليات المخفية وحمايات الذاكرة المشبوهة وآثار الشبكة.
  • وثّق كل نتيجة مع مخرجات الإضافة والطوابع الزمنية والتجزئات وملاحظات التحقق.

جارٍ استخدام "memory-forensics". أحتاج إلى فحص تفريغ عملية بحثًا عن strings مشبوهة.

النتيجة المتوقعة:

  • أنشئ نسخة عمل من تفريغ العملية قبل التحليل.
  • استخرج strings بصيغتي ASCII وUnicode، ثم افصل عناوين URL وعناوين IP والمسارات والأوامر.
  • اربط strings المشبوهة ببيانات العملية الوصفية ومناطق الذاكرة ذات الصلة.

جارٍ استخدام "memory-forensics". أريد مخطط تقرير لنتائج التحليل الجنائي للذاكرة.

النتيجة المتوقعة:

  • لخّص النطاق وطريقة الجمع وتجزئات الصورة وإصدارات الأدوات.
  • اجمع النتائج حسب العملية والشبكة والاستمرارية والتعرض لبيانات الاعتماد ومؤشرات البرمجيات الخبيثة.
  • اذكر مستوى الثقة وخطوات التحقق والأثر وإجراءات الاحتواء الموصى بها.

التدقيق الأمني

مخاطر عالية
v5 • ٩‏/٧‏/٢٠٢٦ فتح التقرير المرتبط بالإصدار

Most code fence, PowerShell, Cobalt Strike, rootkit, and reconnaissance alerts are false positives because the skill is Markdown guidance for offline memory analysis. Confirmed risks remain for privileged live memory acquisition, direct /dev/mem and /proc/kcore access, temporary storage of RAM images, process-memory dumping, and credential extraction guidance.

1
الملفات التي تم فحصها
492
الأسطر التي تم تحليلها
11
عناصر المراجعة
0
تم تجاهل الإيجابيات الكاذبة

مخاوف أمنية مؤكدة (1)

مرتفع
SKILL.md:375-388
Credential Extraction Guidance
The skill includes a credential extraction section with hashdump, LSA secrets, cached domain credentials, and Mimikatz-style extraction from memory. This can expose reusable secrets if used outside authorized forensic investigations.
The section explicitly covers credential material extraction from memory dumps. The overall forensic context suggests legitimate use, but the data exposure risk is direct.
عناصر مراجعة القدرات (11)

هذه قدرات محلية حقيقية قد يُتوقع وجودها لهذه المهارة، لذا فهي تتطلب مراجعة ولكن لا تُحتسب كسلوك خبيث مؤكد.

مرتفع
SKILL.md:49
sudo privilege escalation
sudo insmod lime.ko "path=/tmp/memory.lime format=lime"
The command loads a kernel memory acquisition module with sudo and writes a full RAM image. This requires elevated privileges and can expose secrets from the live host.
مرتفع
SKILL.md:52
sudo privilege escalation
sudo dd if=/dev/mem of=memory.raw bs=1M
The command uses sudo to read /dev/mem into a raw memory image. Direct physical memory access is highly sensitive and can bypass normal data boundaries.
مرتفع
SKILL.md:55
sudo privilege escalation
sudo cp /proc/kcore memory.elf
The command copies /proc/kcore with sudo, which can expose kernel and process memory. This is a legitimate forensic action only under strict authorization.
مرتفع
SKILL.md:61
sudo privilege escalation
sudo ./osxpmem -o memory.raw
The command runs a macOS memory acquisition tool with sudo. It can capture sensitive system memory and should be limited to authorized evidence collection.
مرتفع
SKILL.md:54
Linux /proc filesystem access
# /proc/kcore (ELF format)
The line introduces /proc/kcore as a memory acquisition source, and the following line shows copying it. /proc/kcore can expose live kernel and process memory.
مرتفع
SKILL.md:55
Linux /proc filesystem access
sudo cp /proc/kcore memory.elf
The command copies /proc/kcore into an evidence file. That file can contain highly sensitive live memory, including credentials and process data.
مرتفع
SKILL.md:51
Non-standard device file access
# /dev/mem (limited, requires permissions)
The line introduces /dev/mem as an acquisition source, and the following line shows direct copying. /dev/mem access can expose raw physical memory.
مرتفع
SKILL.md:52
Non-standard device file access
sudo dd if=/dev/mem of=memory.raw bs=1M
The command reads /dev/mem into a raw dump. Direct device memory access is sensitive and can collect secrets outside normal file permissions.
مرتفع
SKILL.md:49
Temp directory access
sudo insmod lime.ko "path=/tmp/memory.lime format=lime"
The command writes a full memory image to /tmp. Shared temporary paths can expose highly sensitive RAM captures to other local users or cleanup races.
مرتفع
SKILL.md:114
Memory-mapped file access
vol -f memory.raw windows.memmap --pid <PID> --dump
The command dumps a selected process memory map from a forensic image. This is legitimate for incident response but can expose credentials, keys, or executable payloads.
مرتفع
SKILL.md:451
Memory-mapped file access
vol -f memory.raw windows.memmap --pid 1234 --dump
The command dumps process memory before string extraction. This can reveal sensitive user data and secrets from the captured process address space.

عوامل الخطر

⚙️ الأوامر الخارجية (50)
SKILL.md:25 SKILL.md:32-44 SKILL.md:44-47 SKILL.md:47-56 SKILL.md:56-59 SKILL.md:59-64 SKILL.md:64-68 SKILL.md:68-80 SKILL.md:80-86 SKILL.md:86-98 SKILL.md:98-103 SKILL.md:103-121 SKILL.md:121-124 SKILL.md:124-130 SKILL.md:130-133 SKILL.md:133-145 SKILL.md:145-148 SKILL.md:148-157 SKILL.md:157-160 SKILL.md:160-169 SKILL.md:169-172 SKILL.md:172-181 SKILL.md:181-185 SKILL.md:185-206 SKILL.md:206-210 SKILL.md:210-222 SKILL.md:222-228 SKILL.md:228-251 SKILL.md:251-255 SKILL.md:255-275 SKILL.md:275-281 SKILL.md:281-307 SKILL.md:307-311 SKILL.md:311-330 SKILL.md:330-336 SKILL.md:336-354 SKILL.md:354-358 SKILL.md:358-373 SKILL.md:373-377 SKILL.md:377-389 SKILL.md:389-395 SKILL.md:395-424 SKILL.md:424-428 SKILL.md:428-437 SKILL.md:437-443 SKILL.md:443-456 SKILL.md:456-460 SKILL.md:460-466 SKILL.md:32 SKILL.md:49
🌐 الوصول إلى الشبكة (1)
SKILL.md:91
📁 الوصول إلى نظام الملفات (7)
SKILL.md:54 SKILL.md:55 SKILL.md:51 SKILL.md:52 SKILL.md:49 SKILL.md:114 SKILL.md:451
دقّقه: codex عرض سجل التدقيق →
شارك واستشهد بهذا التقرير

شارك تقرير التقييم المرتبط بالإصدار والشارة المحايدة وبطاقة التضمين والاستشهادات. تعرض Skillstore الأدلة من دون أن تقرر ما إذا كانت هذه المهارة آمنة.

فتح التقرير المرتبط بالإصدار
تقييم الأمان

نسخ رابط التقرير

https://skillstore.io/skills/sickn33-memory-forensics/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

شارة Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/sickn33-memory-forensics/security.svg)](https://skillstore.io/skills/sickn33-memory-forensics?utm_source=security_passport_badge)

شارة HTML

<a href="https://skillstore.io/skills/sickn33-memory-forensics?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/sickn33-memory-forensics/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

بطاقة قابلة للتضمين

<iframe src="https://skillstore.io/embed/skills/sickn33-memory-forensics.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>
الاستشهادات الأكاديمية (APA · BibTeX · CFF)

اقتباس APA

sickn33. (2026). memory-forensics security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/sickn33-memory-forensics/audits/5

اقتباس BibTeX

@techreport{sickn33-sickn33-memory-forensics-2026, author = {sickn33}, title = {memory-forensics security audit report (audit version 5)}, institution = {Skillstore}, year = {2026}, number = {5}, url = {https://skillstore.io/skills/sickn33-memory-forensics/audits/5}, note = {Author version unspecified} }

CITATION.cff

cff-version: 1.2.0 message: "If you use this Skill, cite its author and this versioned security audit report." title: "memory-forensics security audit report (audit version 5)" version: "unspecified" type: report authors: - name: "sickn33" date-released: "2026-07-09" url: "https://skillstore.io/skills/sickn33-memory-forensics/audits/5" identifiers: - type: other value: "skillstore:sickn33-memory-forensics:audit:5" description: "Skillstore immutable audit report identifier"

تقييم Skillstore

سبب هذا التقييم موثوقية الأدلة: متوسط
55
الهندسة المعمارية
85
قابلية الصيانة
87
المحتوى
69
المجتمع
83
الامتثال للمواصفات

ما الذي يمكنك بناؤه

فرز نقطة نهاية مخترقة

خطط لسير عمل مركّز لتحليل الذاكرة من أجل العمليات المشبوهة وآثار الشبكة والاستمرارية ودلائل الجدول الزمني.

التحقيق في برمجية خبيثة داخل RAM

استخدم مؤشرات العمليات وVAD وYARA وstrings والحقن لتحديد مناطق الذاكرة المشبوهة.

بناء تمرين مختبر جنائي رقمي

علّم جمع الذاكرة واختيار إضافات Volatility ومراجعة الآثار وتوثيق الأدلة.

جرّب هذه الموجّهات

تخطيط سير عمل أساسي 
ساعدني في تخطيط سير عمل آمن للتحليل الجنائي للذاكرة لمضيف Windows. اسأل عن التفاصيل الناقصة قبل اقتراح الأدوات.
اختيار إضافات Volatility 
راجع سيناريو تفريغ الذاكرة هذا واختر إضافات Volatility 3 لفرز آثار العمليات والشبكة والسجل والملفات: [scenario].
التحقيق في الحقن 
أنشئ قائمة تحقق للتحقيق في حقن عمليات مشتبه به في صورة ذاكرة Windows، بما في ذلك خطوات التحقق وملاحظات الأدلة.
تصميم خطة تحليل برمجيات خبيثة 
صمم خطة متعددة المراحل لتحليل ذاكرة البرمجيات الخبيثة باستخدام Volatility 3 وفحص YARA واستخراج strings ونقاط تحقق للتقارير.

أفضل الممارسات

  • اعمل على نسخ موثقة من صور الذاكرة وحافظ على التجزئات الأصلية.
  • شغّل خطوات الجمع عالية المخاطر فقط بتصريح صريح ونطاق موثق.
  • اربط نتائج الذاكرة بأدلة القرص ونقطة النهاية والشبكة قبل استخلاص الاستنتاجات.

تجنب

  • تشغيل أوامر الجمع المباشر على أنظمة خارج نطاقك المعتمد.
  • حفظ صور الذاكرة الكاملة في أدلة مؤقتة مشتركة أو تخزين غير مشفر.
  • اعتبار نتيجة إضافة واحدة دليلًا قاطعًا دون التحقق المتقاطع من الآثار ذات الصلة.

الأسئلة المتكررة

هل تشغل هذه المهارة أدوات التحليل الجنائي تلقائيًا؟
لا. يوفر إرشادات وسير عمل أمثلة. يختار المستخدمون الأدوات ويشغلونها في بيئتهم الخاصة.
ما الأدوات التي تركز عليها؟
تركز على Volatility 3 وأدوات جمع الذاكرة وYARA وstrings وFLOSS.
هل يمكن أن تساعد في تحليل البرمجيات الخبيثة؟
نعم. تغطي الذاكرة المحقونة والعمليات المشبوهة والوحدات المخفية وفحوصات YARA وفرز strings.
هل يلزم وصول administrator؟
تتطلب بعض أمثلة الجمع امتيازات administrator أو root. استخدمها فقط بتصريح صريح.
هل تتعامل مع سلسلة الحيازة؟
تتضمن إرشادات عملية للتجزئة والتوثيق والتعامل مع الأدلة أثناء تحليل الذاكرة.
هل يمكن لتحليل الذاكرة كشف بيانات حساسة؟
نعم. يمكن أن تحتوي صور الذاكرة على بيانات اعتماد ومفاتيح وبيانات شخصية وملفات سرية.

تفاصيل المطور

المؤلف

sickn33

الترخيص

MIT

مراجعة Skillstore

r1

تنبيه الإصدار

لم يعلن المؤلف عن إصدار.

المستودع

https://github.com/sickn33/antigravity-awesome-skills/tree/main/skills/memory-forensics

مرجع

3e4b6c31a74a3bd1a291c98cf585d720cb9fbc88

حداثة الصيانة

١٨‏/٧‏/٢٠٢٦

الاستخدام

7 تنزيلات · 164 مشاهدات

بنية الملفات

📄 SKILL.md

المزيد من sickn33

عرض الكل

مهارات ذات صلة

عرض الكل
📦

secret-scanner

77

اكتشاف الأسرار المكشوفة في الكود

بواسطة CuriousLearner

يمكن أن تمنح بيانات الاعتماد المسرّبة المهاجمين وصولًا إلى حسابات السحابة وقواعد البيانات وأنظمة الدفع. تساعد هذه المهارة Claude وCodex وClaude Code على العثور على الأسرار المحتملة وإنتاج خطوات معالجة واضحة.

الأمان والامتثال عرض