使用 Volatility 3 分析内存镜像中的进程、模块和恶意软件指标

使用 Volatility 3 分析内存镜像中的进程、模块和恶意软件指标 是做什么的？

检查捕获的 RAM 镜像，在升级或移交证据之前枚举进程、模块、句柄和可疑的内存行为。

前提条件

Volatility 3 CLI，Python 3.8+ 环境，支持的内存镜像文件，根据目标操作系统可选的符号包

安装

使用适用于您环境的官方安装或设置路径：

• pip install --user -e ".[full]"
• pip install volatility3
• git clone https://github.com/volatilityfoundation/volatility3.git
• pip install -e ".[dev]"

来自官方的要求和注意事项：

• 有些命令还需要/接受其他选项。运行 vol -h 以获取特定命令的更多信息。
• Volatility 3 需要 Python 3.8.0 或更高版本，并发布在 PyPi 注册表 上。
• 重要提示：首次使用新的符号文件运行 volatility 时，需要更新缓存。符号包包含大量符号文件，因此更新可能需要一些时间！

基本用法或入门说明：

• 安装所需的依赖项：

• shell

• 查看可用的选项：

• 来源：https://github.com/volatilityfoundation/volatility3

• 摘自官方文档：https://raw.githubusercontent.com/volatilityfoundation/volatility3/HEAD/README.md

文档

• https://volatility3.readthedocs.io/en/latest/

来源

• Agent Skill Exchange