VolExp

مستكشف Volatility

يتيح هذا البرنامج للمستخدم الوصول إلى تفريغ الذاكرة. يمكنه أيضًا العمل كإضافة لإطار عمل Volatility (https://github.com/volatilityfoundation/volatility). يعمل هذا البرنامج بطريقة مشابهة لـ Process Explorer/Hacker، لكنه بالإضافة إلى ذلك يسمح للمستخدم بالوصول إلى تفريغ الذاكرة (أو الوصول إلى الذاكرة الفورية على الحاسوب باستخدام Memtriage). يمكن تشغيل هذا البرنامج من أجهزة Windows وLinux وMacOS، لكنه يمكنه استخدام صور ذاكرة Windows فقط.

ملاحظة: مستكشف Volatility للإصدار الثالث https://github.com/memoryforensics1/Vol3xp

بداية سريعة

قم بتنزيل ملف volexp.py (قم أيضًا بتنزيل ملف memtriage.py واستبدله بملف memtriage.py الخاص بك إذا كنت ترغب في استخدام memtriage https://github.com/gleeda/memtriage).
قم بتشغيله كبرنامج مستقل أو كإضافة لـ Volatility:

كبرنامج مستقل:

 python2 volexp

كإضافة لـ Volatility:

 python2 vol.py -f <memory file path> --profile=<memory profile> volexp

بعض المميزات:

python2 memtriage.py --plugins=volexp

بعض المعلومات المعروضة لن يتم تحديثها في الوقت الفعلي (باستثناء معلومات العمليات (تتحدث ببطء)، وظائف الوقت الفعلي مثل محلل البنية، خصائص PE، تشغيل إضافة الوقت الفعلي، إلخ.).
يتيح البرنامج أيضًا عرض الـ DLLs المحملة، والمقابض المفتوحة، واتصالات الشبكة لكل عملية (الوصول إلى خصائص DLL اختياري أيضًا).

اللوحة السفلية

لعرض معلومات إضافية حول عملية ما، انقر نقرًا مزدوجًا (أو انقر بزر الفأرة الأيسر واختر "خصائص") لإظهار نافذة المعلومات.

خصائص العملية

أو اعرض معلومات إضافية عن أي PE.

خصائص PE

يتيح البرنامج للمستخدم عرض الملفات الموجودة في تفريغ الذاكرة بالإضافة إلى معلوماتها. كما يسمح باستخراج تلك الملفات (عرض الـ HexDump/سلاسل النص اختياري أيضًا).

مستكشف الملفات

يدعم البرنامج عرض كائنات Windows وبيانات الملفات الوصفية (MFT).

مستكشفات أخرى (مستكشف Winobj و MFT)

يدعم البرنامج أيضًا عرض سجل تفريغ الذاكرة.

عرض السجل

بالإضافة إلى ذلك، يدعم البرنامج تحليل البنى (الكتابة على بنية الذاكرة، تشغيل دوال Volatility على بنية متاح). مثال للحصول على جميع وحدات التحميل داخل بنية _EPROCESS في نافذة محلل بنية أخرى:

محلل البنية