用途：在逆向分析中提取密钥与口令，适用于需要解密数据或流量但未知密钥、确认样本是否硬编码密钥/口令、以及密钥由运行时派生（PBKDF/HKDF）需还原派生过程的场景。算法未确认时应先做算法识别；密钥由外部配置或服务器下发时本地无可提取密钥，应如实告知用户。
主要能力：静态侧用 strings 扫描可打印串与 UTF-16LE 串，结合反编译器交叉引用定位密钥使用点，搜索常量与资源段（.rsrc/.rodata）中的嵌入 blob；动态侧通过内存转储搜索 16/24/32 字节高熵块与可打印口令串；从导入表 Crypt/BCrypt/EVP 等函数上溯数据流定位密钥参数；还原 PBKDF2/scrypt/bcrypt 等派生过程。
使用方式：先静态后动态。strings -n 6 sample.bin | grep -iE 'key|secret|pass|token|crypt|iv' 做快速扫描；可疑串用 Ghidra/IDA 查交叉引用；内存环节先 gcore -o out <pid> 转储，再用 Python 脚本按熵值筛选候选块；派生密钥可用 hashlib.pbkdf2_hmac 还原并验证。运行样本须进沙箱。
限制与注意：密钥可能分片存储或异或混淆，需还原重组逻辑；真随机或服务器下发的密钥无法静态提取；转储时机过早会拿不到运行时密钥；高熵块搜索需覆盖 16/24/32 三档以免漏检 AES-192；勒索类样本密钥即用即销，事后转储可能为空，需在加密阶段多次快照或设断点截获。提取结果应记录来源证据并交由解密环节验证。