分析記憶體映像檔中的程序、模組與惡意軟體指標

使用 Volatility 3 分析記憶體映像檔中的程序、模組與惡意軟體指標

檢查捕獲的 RAM 映像檔，列舉程序、模組、控制代碼以及可疑的記憶體內行為，以便在事件升級或證據移交前進行分析。

先決條件

Volatility 3 CLI、Python 3.8+ 環境、受支援的記憶體映像檔、可選的符號套件（視目標作業系統而定）

安裝

使用符合您環境的上游安裝或設定路徑：

• pip install --user -e ".[full]"
• pip install volatility3
• git clone https://github.com/volatilityfoundation/volatility3.git
• pip install -e ".[dev]"

來自上游的需求與注意事項：

• 某些外掛程式也要求或接受其他選項。執行 vol <plugin> -h 可取得特定指令的詳細資訊。
• Volatility 3 需要 Python 3.8.0 或更新版本，並已發佈於 PyPi 註冊表。
• 重要：首次執行 Volatility 搭配新的符號檔時，需要更新快取。符號套件包含大量符號檔，因此可能需要一些時間來更新！

基本使用或入門說明：

• 安裝所需的相依套件：

• shell

• 查看可用的選項：

• 來源：https://github.com/volatilityfoundation/volatility3

• 摘自上游文件：https://raw.githubusercontent.com/volatilityfoundation/volatility3/HEAD/README.md

文件

• https://volatility3.readthedocs.io/en/latest/

來源

• Agent Skill Exchange