# MemScan
项目地址：https://github.com/cnevil/MemScan
[](https://github.com/cnevil/MemScan#memscan)

[![License: MIT](https://camo.githubusercontent.com/784362b26e4b3546254f1893e778ba64616e362bd6ac791991d2c9e880a3a64e/68747470733a2f2f696d672e736869656c64732e696f2f62616467652f4c6963656e73652d4d49542d677265656e2e737667)](https://github.com/cnevil/MemScan/blob/main/LICENSE) [![Go](https://camo.githubusercontent.com/1dab9c7dae8aacc32ae3874cf8d5219eb3dd403a30c7221a5b142ba69d78e829/68747470733a2f2f696d672e736869656c64732e696f2f62616467652f476f2d312e32312b2d3030414444382e737667)](https://go.dev/) [![Platform](https://camo.githubusercontent.com/b61405a1240aea95b9736a1004f2ef1a72a6b6d2cda45811c49767b1058ab70e/68747470733a2f2f696d672e736869656c64732e696f2f62616467652f706c6174666f726d2d57696e646f77732532302537432532304c696e757825323028616d64363425324661726d3634292d6c69676874677265792e737667)](https://camo.githubusercontent.com/b61405a1240aea95b9736a1004f2ef1a72a6b6d2cda45811c49767b1058ab70e/68747470733a2f2f696d672e736869656c64732e696f2f62616467652f706c6174666f726d2d57696e646f77732532302537432532304c696e757825323028616d64363425324661726d3634292d6c69676874677265792e737667)

跨平台的进程内存关键字扫描工具，主要用于**应急响应**与安全分析。通过在各进程内存中搜索关键字 （如 C2 地址、可疑命令、Webshell 特征、明文凭据等），快速定位发起可疑连接、执行可疑命令的进程。

提供 **图形界面（GUI）** 与 **无界面命令行（CLI）** 两种形态，覆盖 Windows 与 Linux （amd64 / arm64，含主流国产化系统）。

> **⚠ 免责声明**：本工具仅供在**获得授权**的应急响应、安全测试与研究场景下使用。 读取其他进程内存需要管理员 / root 权限。请勿用于任何未授权的系统，使用者需自行承担合规责任。

## 功能特性

[](https://github.com/cnevil/MemScan#%E5%8A%9F%E8%83%BD%E7%89%B9%E6%80%A7)

*   **文本 / HEX 搜索**：按文本或 HEX 字节序列（如 `DE AD BE EF`）搜索，支持通配符（文本 `?`，HEX `??`）。
*   **自动多编码匹配**：文本含非 ASCII（如中文）时，自动同时按 UTF-8 / UTF-16 LE / GBK 搜索，命中标明实际编码。
*   **可控扫描范围**：默认聚焦可写 / 已驻留页（快）；可切换全量扫描（含只读段、映射文件）。
*   **字符串 dump**：按编码（ASCII / UTF-16 LE）与长度过滤，导出进程内可打印字符串。
*   **GUI**：匹配上下文预览、双击跳转内存查看器、进程详情。
*   **CLI**：纯 Go 静态二进制、零外部依赖、可交叉编译，适合 headless 服务器；支持 `text` / `json` / `csv` 输出。
*   **跨平台**：Windows 10 / Server 2016+，Linux amd64 & arm64（含国产化系统）；Windows 7 提供 CLI 版。
*   中文字体已内嵌，免装字体。

## 截图

[](https://github.com/cnevil/MemScan#%E6%88%AA%E5%9B%BE)

在上方输入框中输入要查询的内容（例如 C2 地址），点击「开始扫描」即可，默认配置已是最佳实践。

[![GUI 扫描结果](/media/202606/7a524d74b3354b1db7ccb198743ef5363520.png)](https://github.com/cnevil/MemScan/blob/main/docs/images/gui-scan-result.png)

蓝队进程内存扫描工具