تم أرشفة هذا المشروع. راجع Volatility 3 للتحقيقات الحديثة: https://github.com/volatilityfoundation/volatility3

============================================================================ إطار عمل Volatility - إطار عمل لاستخراج الذاكرة المتطايرة

إطار عمل Volatility هو مجموعة مفتوحة بالكامل من الأدوات، مُطبقة بلغة Python بموجب رخصة GNU العامة، لاستخراج الأدلة الرقمية من عينات الذاكرة المتطايرة (RAM). تقنيات الاستخراج تُنفذ بشكل مستقل تمامًا عن النظام قيد التحقيق ولكنها توفر رؤية للحالة الزمنية للنظام. يهدف الإطار إلى تعريف الأشخاص بالتقنيات والتعقيدات المرتبطة باستخراج الأدلة الرقمية من عينات الذاكرة المتطايرة وتوفير منصة لمزيد من العمل في هذا المجال المثير من البحث.

يتوفر توزيع Volatility من: http://www.volatilityfoundation.org/#!releases/component_71401

يجب أن يعمل Volatility على أي منصة تدعم Python (http://www.python.org)

يدعم Volatility التحقيقات في صور الذاكرة التالية:

Windows:

• 32-bit Windows XP Service Pack 2 و 3
• 32-bit Windows 2003 Server Service Pack 0, 1, 2
• 32-bit Windows Vista Service Pack 0, 1, 2
• 32-bit Windows 2008 Server Service Pack 1, 2 (لا يوجد SP0)
• 32-bit Windows 7 Service Pack 0, 1
• 32-bit Windows 8, 8.1, و 8.1 Update 1
• 32-bit Windows 10 (دعم أولي)
• 64-bit Windows XP Service Pack 1 و 2 (لا يوجد SP0)
• 64-bit Windows 2003 Server Service Pack 1 و 2 (لا يوجد SP0)
• 64-bit Windows Vista Service Pack 0, 1, 2
• 64-bit Windows 2008 Server Service Pack 1 و 2 (لا يوجد SP0)
• 64-bit Windows 2008 R2 Server Service Pack 0 و 1
• 64-bit Windows 7 Service Pack 0 و 1
• 64-bit Windows 8, 8.1, و 8.1 Update 1
• 64-bit Windows Server 2012 و 2012 R2
• 64-bit Windows 10 (بما في ذلك على الأقل 10.0.19041)
• 64-bit Windows Server 2016 (بما في ذلك على الأقل 10.0.19041)

ملاحظة: يُرجى الاطلاع على الإرشادات في الرابط التالي لملاحظات حول التوافق مع عينات ذاكرة Windows 7 (أو الأحدث) المُصَحَّحة حديثًا:

https://github.com/volatilityfoundation/volatility/wiki/2.6-Win-Profiles

Linux:

• 32-bit Linux kernels 2.6.11 إلى 5.5
• 64-bit Linux kernels 2.6.11 إلى 5.5
• OpenSuSE, Ubuntu, Debian, CentOS, Fedora, Mandriva, إلخ

Mac OSX:

• 32-bit 10.5.x Leopard (الإصدار 64-bit الوحيد هو Server، غير مدعوم)
• 32-bit 10.6.x Snow Leopard
• 64-bit 10.6.x Snow Leopard
• 32-bit 10.7.x Lion
• 64-bit 10.7.x Lion
• 64-bit 10.8.x Mountain Lion (لا يوجد إصدار 32-bit)
• 64-bit 10.9.x Mavericks (لا يوجد إصدار 32-bit)
• 64-bit 10.10.x Yosemite (لا يوجد إصدار 32-bit)
• 64-bit 10.11.x El Capitan (لا يوجد إصدار 32-bit)
• 64-bit 10.12.x Sierra (لا يوجد إصدار 32-bit)
• 64-bit 10.13.x High Sierra (لا يوجد إصدار 32-bit))
• 64-bit 10.14.x Mojave (لا يوجد إصدار 32-bit)
• 64-bit 10.15.x Catalina (لا يوجد إصدار 32-bit)

لا يوفر Volatility إمكانيات الحصول على عينات الذاكرة. للحصول على العينات، توجد حلول مجانية وتجارية متاحة. إذا كنت ترغب في اقتراحات حول حلول مناسبة للحصول على العينات، يُرجى الاتصال بنا على:

volatility (at) volatilityfoundation (dot) org

يدعم Volatility مجموعة متنوعة من تنسيقات ملفات العينات وإمكانية التحويل بين هذه التنسيقات:

• Raw linear sample (dd)
• Hibernation file (من Windows 7 والإصدارات الأقدم)
• Crash dump file
• VirtualBox ELF64 core dump
• VMware saved state و snapshot files
• EWF format (E01)
• LiME format
• Mach-O file format
• QEMU virtual machine dumps
• Firewire
• HPAK (FDPro)

للحصول على قائمة أكثر تفصيلاً بالإمكانيات، يُرجى الاطلاع على:

https://github.com/volatilityfoundation/volatility/wiki

وأيضًا مستودع الإضافات المجتمعية:

https://github.com/volatilityfoundation/community

بيانات مثال

إذا كنت ترغب في تجربة Volatility، يمكنك تنزيل صور ذاكرة نموذجية من الرابط التالي:

https://github.com/volatilityfoundation/volatility/wiki/Memory-Samples

القوائم البريدية

القوائم البريدية لدعم مستخدمي ومطوري Volatility يمكن العثور عليها على العنوان التالي:

http://lists.volatilesystems.com/mailman/listinfo

الاتصال

للمعلومات أو الطلبات، اتصل بـ:

Volatility Foundation

الويب: http://www.volatilityfoundation.org http://volatility-labs.blogspot.com http://volatility.tumblr.com

البريد الإلكتروني: volatility (at) volatilityfoundation (dot) org

IRC: #volatility على freenode

تويتر: @volatility

المتطلبات

• Python 2.6 أو أحدث، ولكن ليس 3.0. http://www.python.org

قد تحتوي بعض الإضافات على متطلبات أخرى يمكن العثور عليها على: https://github.com/volatilityfoundation/volatility/wiki/Installation

بداية سريعة

1. قم بفك ضغط أحدث إصدار من Volatility من volatilityfoundation.org

2. لرؤية الخيارات المتاحة، قم بتشغيل "python vol.py -h" أو "python vol.py --info"

   مثال:

$ python vol.py --info Volatility Foundation Volatility Framework 2.6

Address Spaces

AMD64PagedMemory - Standard AMD 64-bit address space. ArmAddressSpace - Address space for ARM processors FileAddressSpace - This is a direct file AS. HPAKAddressSpace - This AS supports the HPAK format IA32PagedMemory - Standard IA-32 paging address space. IA32PagedMemoryPae - This class implements the IA-32 PAE paging address space. It is responsible LimeAddressSpace - Address space for Lime LinuxAMD64PagedMemory - Linux-specific AMD 64-bit address space. MachOAddressSpace - Address space for mach-o files to support atc-ny memory reader OSXPmemELF - This AS supports VirtualBox ELF64 coredump format QemuCoreDumpElf - This AS supports Qemu ELF32 and ELF64 coredump format VMWareAddressSpace - This AS supports VMware snapshot (VMSS) and saved state (VMSS) files VMWareMetaAddressSpace - This AS supports the VMEM format with VMSN/VMSS metadata VirtualBoxCoreDumpElf64 - This AS supports VirtualBox ELF64 coredump format Win10AMD64PagedMemory - Windows 10-specific AMD 64-bit address space. WindowsAMD64PagedMemory - Windows-specific AMD 64-bit address space. WindowsCrashDumpSpace32 - This AS supports windows Crash Dump format WindowsCrashDumpSpace64 - This AS supports windows Crash Dump format WindowsCrashDumpSpace64BitMap - This AS supports Windows BitMap Crash Dump format WindowsHiberFileSpace32 - This is a hibernate address space for windows hibernation files.