Vol3xp، إضافات مستكشف Volatility 3

WinObj -> مستكشف كائنات نواة ويندوز، تحسين لـ https://github.com/kslgroup/WinObj لـ volatility 3 (winobj.py)

WinObj (مشابه جدًا لـ WinObj [sysinternals]) كما يدعم محلل الهياكل و WinObjGui من VolExp.

RAMMap -> تعيين العناوين الفيزيائية (pfn.py)

RAMMap (مشابه جدًا لـ Rammap [SysInternals])، لكنه بالإضافة إلى ذلك يحدد أي صفحات مشبوهة (لمزيد من المعلومات اقرأ الـ pdf). تحتوي هذه الوحدة على 3 إضافات:

1. P2V - يحول العنوان الفيزيائي إلى عنوان افتراضي باستخدام PfnDatabase ويجد العملية المالكة للصفحة (إن وجدت).
2. PFNInfo - يعطي معلومات عن صفحة فيزيائية من PfnDatabase، استخدام الصفحة، اسم الملف، وأكثر من ذلك بكثير.
3. RAMMap - يستخدم كلتا الإضافتين أعلاه. يعرض واجهة مشابهة لـ RamMap لجميع الصفحات الفيزيائية، ويلون الصفحات المشبوهة. [يمكنك رؤية معلومات أكثر تفصيلاً عن الإضافات في الـ pdf]

والحدث الرئيسي -> مستكشف Volatility (volexp.py)

يسمح هذا البرنامج للمستخدم برفع نسخة من الذاكرة والتنقل فيها بسهولة باستخدام واجهة رسومية. يمكنه أيضًا العمل كإضافة لإطار عمل Volatility (https://github.com/volatilityfoundation/volatility3). يعمل هذا البرنامج بشكل مشابه لـ Process Explorer/Hacker، لكنه يسمح للمستخدم بتحليل نسخة الذاكرة. يمكن لهذا البرنامج العمل على أجهزة ويندوز ولينكس وماك، لكنه يقبل فقط صور ذاكرة ويندوز.

ملاحظة: مستكشف volatility لـ volatility2 -> https://github.com/memoryforensics1/VolExp

بداية سريعة

1. قم بتنزيل ملف volexp.py (قم بتنزيل الـ ).

2. شغله كبرنامج مستقل أو كإضافة لـ Volatility:

• كبرنامج مستقل:

 python3 volexp

• كإضافة لـ Volatility:

 python3 vol.py -f <memory file path> windows.volexp.volexp

بعض الميزات:

python3 volexp.py

• بعض المعلومات المعروضة لن يتم تحديثها في الوقت الحقيقي (باستثناء معلومات العمليات (تحديث بطيء)، وظائف الوقت الحقيقي مثل محلل الهياكل، خصائص PE، تشغيل إضافة الوقت الحقيقي، إلخ.).

• البرنامج يسمح أيضًا بعرض الـ dll's المحملة، المقابض المفتوحة واتصالات الشبكة لكل عملية (الوصول إلى خصائص dll's اختياري أيضًا).

• لعرض معلومات أكثر عن عملية ما، انقر نقرًا مزدوجًا (أو انقر بزر الماوس الأيسر واختر Properties) لفتح نافذة معلومات.

• أو عرض معلومات أكثر عن أي PE.

• البرنامج يسمح للمستخدم بعرض الملفات في نسخة الذاكرة بالإضافة إلى معلوماتها. كما يسمح باستخراج تلك الملفات (عرض HexDump/strings اختياري أيضًا).

• البرنامج يدعم عرض كائنات ويندوز وبيانات الملفات الوصفية (MFT).

• البرنامج يدعم أيضًا عرض سجل نسخة الذاكرة

• بالإضافة إلى ذلك، يدعم البرنامج تحليل الهياكل. (الكتابة على هيكل الذاكرة، تشغيل وظائف Volatility على هيكل متاح). مثال على الحصول على جميع وحدات التحميل داخل هيكل _EPROCESS في نافذة محلل هياكل أخرى:

• البرنامج قادر أيضًا على وضع علامات تلقائية على العمليات المشبوهة التي تم العثور عليها بواسطة إضافة أخرى. مثال على تشغيل إضافة threadmap:

• عرض استخدام الذاكرة لعملية.

• وضع علامة يدوية على عملية معينة وإضافة ملاحظة جانبية عليها.

• يمكن حفظ إجراءات المستخدم في ملف منفصل للاستخدام لاحقًا.

احصل على المساعدة: https://github.com/memoryforensics1/VolExp/wiki/VolExp-help: