用途：任何需要读取进程内存的任务，包括查找密钥或解密数据、脱壳后提取干净样本、DEX 提取，以及进程已死后的 core 分析；attach 被禁时作为兜底。实时交互调试应使用调试器，静态可得的字符串或结构应优先静态分析。
主要能力：默认转储优先，使用 gdb/gcore 生成单进程 ELF core，含完整内存与寄存器、线程状态，可直接导入 Ghidra/IDA 分析；支持按魔数扫描定向提取密钥、DEX、字符串；Windows 侧可用 procdump 做全进程内存转储，DumpIt 做整机物理内存转储。
使用方式：Linux 安装 gdb 后执行 gcore -o out <pid>，或 gdb -q -p <pid> -ex 'gcore out' -ex detach -ex quit。转储前用 /proc/<pid>/maps 过滤 vsyscall/vdso/vvar。提取示例：grep -abo $'dex\n035' out、grep -abo '-----BEGIN' out、strings -n 8 out | grep -iE 'key|secret|flag|BEGIN'。特例直读需先 kill -STOP <pid>，再按 maps 定址用 dd 或 pread 读取 /proc/<pid>/mem，完成后 kill -CONT。Windows 用 procdump -accepteula -ma <pid> out.dmp。
适用场景：脱壳后提取、恶意样本内存产物提取、移动 App 内存中 DEX/so 提取、内存中密钥提取、core 复盘。
限制：gcore 产物是单进程 ELF core，不是整机镜像，Volatility 的 linux.pslist 等插件不适用；转储时机过早会拿到压缩或加密数据，多阶段加载、按需解密、虚拟化保护、反射加载、进程注入与 fake OEP 需按写→执行转移、内存保护变化、payload 头或导入恢复确定 dump 点，必要时多时点快照；解密数据出现后应立即保存，否则可能被覆盖；vDSO 不可移植，重建镜像时相关调用视为失效；gcore 取证分辨率有限，深度取证需内核级转储；ptrace 权限可能拦截，需 root 或调整 kernel.yama.ptrace_scope。