VolExp

Volatility Explorer

Dieses Programm ermöglicht dem Benutzer den Zugriff auf einen Memory Dump. Es kann auch als Plugin für das Volatility-Framework (https://github.com/volatilityfoundation/volatility) verwendet werden. Dieses Programm funktioniert ähnlich wie Process Explorer/Hacker, erlaubt dem Benutzer jedoch zusätzlich den Zugriff auf einen Memory Dump (oder den Zugriff auf den Echtzeitspeicher des Computers mittels Memtriage). Das Programm kann auf Windows-, Linux- und MacOS-Maschinen ausgeführt werden, kann jedoch nur Windows-Speicherabbilder verwenden.

Hinweis: volatility explorer für volatility3 https://github.com/memoryforensics1/Vol3xp

Schnellstart

1. Laden Sie die Datei volexp.py herunter (laden Sie auch die Datei memtriage.py herunter und ersetzen Sie Ihre memtriage.py-Datei damit, wenn Sie memtriage verwenden möchten https://github.com/gleeda/memtriage).

2. Führen Sie es als eigenständiges Programm oder als Plugin für Volatility aus:

• Als eigenständiges Programm:

 python2 volexp

• Als Volatility-Plugin:

 python2 vol.py -f <Memory-Dateipfad> --profile=<Speicherprofil> volexp

Einige Funktionen:

python2 memtriage.py --plugins=volexp

• Einige der Informationsanzeigen werden nicht in Echtzeit aktualisiert (außer Prozessinformationen (langsame Aktualisierung), Echtzeitfunktionen wie Strukturanalyzer, PE-Eigenschaften, Ausführung von Echtzeit-Plugins usw.).

• Das Programm ermöglicht auch die Anzeige geladener DLLs, offener Handles und Netzwerkverbindungen jedes Prozesses (Zugriff auf die Eigenschaften einer DLL ist ebenfalls optional).

• Um weitere Informationen zu einem Prozess anzuzeigen, doppelklicken Sie (oder klicken Sie mit der linken Maustaste und wählen Sie Eigenschaften), um ein Informationsfenster zu öffnen.

• Oder zeigen Sie weitere Informationen zu einer beliebigen PE an.

• Das Programm ermöglicht dem Benutzer die Anzeige der Dateien im Memory Dump sowie deren Informationen. Zusätzlich erlaubt es dem Benutzer, diese Dateien zu extrahieren (HexDump/Zeichenkettenansicht ist ebenfalls optional).

• Das Programm unterstützt die Anzeige der Windows-Objekte und der Datei-Metadaten (MFT).

• Das Programm unterstützt auch die Anzeige einer RegView des Memory Dumps.

• Zusätzlich unterstützt das Programm die Strukturanalyse. (Das Bearbeiten der Speicherstruktur, das Ausführen von Volatility-Funktionen auf einer Struktur ist verfügbar). Beispiel für das Abrufen aller geladenen Module innerhalb der _EPROCESS-Struktur in einem anderen Strukturanalyzer-Fenster:

• Das Programm ist auch in der Lage, verdächtige Prozesse, die von einem anderen Plugin gefunden wurden, automatisch zu markieren. Beispiel für die Ausführung des threadmap-Plugins:

• Zeigen Sie die Speichernutzung eines Prozesses an.

• Markieren Sie manuell einen bestimmten Prozess und fügen Sie eine Randnotiz hinzu.

• Benutzeraktionen können in einer separaten Datei für die spätere Verwendung gespeichert werden.

Hilfe erhalten: https://github.com/memoryforensics1/VolExp/wiki/VolExp-help: