Heap Dump — Analyse du tas mémoire

Intérêt

Le tas (heap) d'un processus contient données dynamiques : secrets déchiffrés, tokens, contenu de formulaires, objets applicatifs. Un dump de heap permet de récupérer des données jamais écrites sur disque.

Extraction

# Dumper la mémoire d un processus (Volatility)
vol3 -f mem.raw windows.memmap --pid 1234 --dump

# Linux : depuis un processus vivant
gcore <pid>            # core dump via gdb
cat /proc/<pid>/maps   # cartographie des régions
# puis lire /proc/<pid>/mem aux offsets [heap]

Exploitation

strings -n 6 process_dump | grep -iE 'token|password|BEGIN RSA'
# Recherche de structures connues (JSON, JWT eyJ..., clés PEM)