Process
域名：process
进程、模块、内存诊断与受控注入域，适合宿主级分析、故障排查与 Windows 进程实验场景。
Profile
- full
典型场景
- 进程枚举与模块检查
- 内存失败诊断与审计导出
- 受控环境中的 DLL/Shellcode 注入
常见组合
- process + debugger
- process + platform
工具清单（17）
| 工具 | 说明 |
|---|---|
electron_attach | 通过 CDP 连接正在运行的 Electron 应用并执行检查或脚本。 |
process_windows | 获取指定进程关联的全部窗口句柄。 |
process_check_debug_port | 检查目标进程是否已开启可用于 CDP 附加的调试端口。 |
process_launch_debug | 以启用远程调试端口的方式启动可执行文件。 |
memory_read | 读取目标进程指定地址的内存内容。需要提权。失败时返回结构化 diagnostics。 |
memory_write | 向目标进程指定地址写入内存数据。需要提权。失败时返回结构化 diagnostics。 |
memory_scan | 按模式或数值扫描进程内存。需要提权。失败时返回结构化 diagnostics。 |
memory_check_protection | 检查指定内存地址的保护属性，如可读、可写、可执行。 |
memory_scan_filtered | 在已筛选地址范围内执行二次内存扫描。 |
memory_batch_write | 一次性写入多处内存补丁。 |
memory_dump_region | 将指定内存区域转储到文件以供分析。 |
memory_list_regions | 列出进程中的全部内存区域及其保护标志。 |
memory_audit_export | 导出内存操作审计轨迹为 JSON，并可通过 clear=true 在导出后清空缓冲区。 |
inject_dll | 通过 CreateRemoteThread 与 LoadLibraryA (Windows) 或 gdb/lldb (Linux/macOS) 向目标进程注入 DLL 或 shared object。默认启用；可通过 ENABLE_INJECTION_TOOLS=false 禁用。需要高权限。 |
inject_shellcode | 向目标进程注入并执行 Shellcode，支持 hex 或 base64。默认启用；可通过 ENABLE_INJECTION_TOOLS=false 禁用。 |
check_debug_port | 通过 NtQueryInformationProcess 检查进程是否处于调试状态。 |
enumerate_modules | 列出进程中所有已加载模块（DLL）及其基址。 |