用途：把“只有现象、没有样本文件”的目标变成可分析的样本。适用于无文件恶意软件、反射加载载荷、服务端内存马、APT 内存驻留、游戏外挂（用户态与驱动）、微内核未授权可执行页等场景。已有磁盘样本、整机镜像取证、设备备份解析、单纯“给定 PID 转储”不属于本技能。
主要能力：按平台枚举可执行内存单元并筛选异常区（Windows 用 VAD/region 与 VirtualQueryEx/NtQueryVirtualMemory；Linux 用 /proc/<pid>/maps 的 VMA，6.11+ 可用 PROCMAP_QUERY；macOS 用 Mach VM region；seL4 走 capability/VSpace 审计）；做执行上下文归属（线程起点、PC/RIP、调用栈返回地址、region ownership 三层证据）；用事件源作触发时机（Windows Sysmon 8/10/25 与 ETW，Linux tracepoint/kprobe/BPF LSM，macOS Endpoint Security，seL4 fault endpoint），以内存扫描为 ground truth；保存整个可疑区域而非只找 MZ/PE 头，并记录基址、大小、保护属性变更史、类型、映射来源、采集时间；比对内存副本与磁盘副本以发现 stomping、patch、擦头；最后重建、误报评估与报告。
使用方式：先按平台分支选择观测模型，再走平台无关主干——扫描异常执行区、归属执行上下文、运行时相关性判断、Snapshot/Dump、重建与评分。工具示例：Windows 用 PE-sieve/HollowsHunter、System Informer、procdump -ma <pid> out.dmp、Sysmon、frida；Linux 用 /proc 解析、gdb/gcore、bpftrace/perf/BPF LSM、frida；macOS 用 lldb/vmmap/otool 与 Mach VM API、Endpoint Security 客户端；seL4 无通用现成工具，需在系统构造期由 security monitor 记录 provenance。
限制：只对自有或已获书面授权的设备/系统采集，采集动作痕迹明显，会触发反作弊、EDR 或业务监控；本技能只做采集，不做对目标检测系统的隐匿。平台权限模型不同：macOS 受 SIP/Hardened Runtime/task port 限制，seL4 不存在“root 全读”。无背书可执行内存不等于恶意，JIT、浏览器、Wine/Proton、QEMU TCG、安全软件自身 hook 都会产生同类区域，需 provenance、执行史与评分综合判断。一次性解密或用后自清除的载荷须在触发瞬间 dump。