Dieses Projekt ist archiviert. Siehe Volatility 3 für moderne Untersuchungen: https://github.com/volatilityfoundation/volatility3

============================================================================ Volatility Framework - Rahmenwerk zur Extraktion flüchtiger Speicherinhalte

Das Volatility Framework ist eine vollständig quelloffene Sammlung von Werkzeugen, implementiert in Python unter der GNU General Public License, zur Extraktion digitaler Artefakte aus flüchtigen Arbeitsspeicher-Proben (RAM). Die Extraktionstechniken arbeiten völlig unabhängig vom untersuchten System, bieten jedoch Einblick in den Laufzeitzustand des Systems. Das Framework soll Menschen mit den Techniken und Komplexitäten vertraut machen, die mit der Extraktion digitaler Artefakte aus flüchtigen Speicherproben verbunden sind, und eine Plattform für weitere Arbeiten in diesem spannenden Forschungsbereich bieten.

Die Volatility-Distribution ist erhältlich unter: http://www.volatilityfoundation.org/#!releases/component_71401

Volatility sollte auf jeder Plattform laufen, die Python (http://www.python.org) unterstützt.

Volatility unterstützt Untersuchungen der folgenden Speicherabbilder:

Windows:

• 32-Bit Windows XP Service Pack 2 und 3
• 32-Bit Windows 2003 Server Service Pack 0, 1, 2
• 32-Bit Windows Vista Service Pack 0, 1, 2
• 32-Bit Windows 2008 Server Service Pack 1, 2 (es gibt kein SP0)
• 32-Bit Windows 7 Service Pack 0, 1
• 32-Bit Windows 8, 8.1 und 8.1 Update 1
• 32-Bit Windows 10 (erste Unterstützung)
• 64-Bit Windows XP Service Pack 1 und 2 (es gibt kein SP0)
• 64-Bit Windows 2003 Server Service Pack 1 und 2 (es gibt kein SP0)
• 64-Bit Windows Vista Service Pack 0, 1, 2
• 64-Bit Windows 2008 Server Service Pack 1 und 2 (es gibt kein SP0)
• 64-Bit Windows 2008 R2 Server Service Pack 0 und 1
• 64-Bit Windows 7 Service Pack 0 und 1
• 64-Bit Windows 8, 8.1 und 8.1 Update 1
• 64-Bit Windows Server 2012 und 2012 R2
• 64-Bit Windows 10 (einschließlich mindestens 10.0.19041)
• 64-Bit Windows Server 2016 (einschließlich mindestens 10.0.19041)

Hinweis: Bitte beachten Sie die Richtlinien unter folgendem Link für Hinweise zur Kompatibilität mit kürzlich gepatchten Windows 7 (oder neuer) Speicherproben:

https://github.com/volatilityfoundation/volatility/wiki/2.6-Win-Profiles

Linux:

• 32-Bit Linux-Kernel 2.6.11 bis 5.5
• 64-Bit Linux-Kernel 2.6.11 bis 5.5
• OpenSuSE, Ubuntu, Debian, CentOS, Fedora, Mandriva, etc.

Mac OSX:

• 32-Bit 10.5.x Leopard (die einzige 64-Bit 10.5 ist Server, die nicht unterstützt wird)
• 32-Bit 10.6.x Snow Leopard
• 64-Bit 10.6.x Snow Leopard
• 32-Bit 10.7.x Lion
• 64-Bit 10.7.x Lion
• 64-Bit 10.8.x Mountain Lion (es gibt keine 32-Bit-Version)
• 64-Bit 10.9.x Mavericks (es gibt keine 32-Bit-Version)
• 64-Bit 10.10.x Yosemite (es gibt keine 32-Bit-Version)
• 64-Bit 10.11.x El Capitan (es gibt keine 32-Bit-Version)
• 64-Bit 10.12.x Sierra (es gibt keine 32-Bit-Version)
• 64-Bit 10.13.x High Sierra (es gibt keine 32-Bit-Version))
• 64-Bit 10.14.x Mojave (es gibt keine 32-Bit-Version)
• 64-Bit 10.15.x Catalina (es gibt keine 32-Bit-Version)

Volatility bietet keine Funktionen zur Erfassung von Speicherproben. Für die Erfassung stehen sowohl kostenlose als auch kommerzielle Lösungen zur Verfügung. Wenn Sie Vorschläge zu geeigneten Erfassungslösungen wünschen, kontaktieren Sie uns bitte unter:

volatility (at) volatilityfoundation (dot) org

Volatility unterstützt eine Vielzahl von Proben-Dateiformaten und die Möglichkeit, zwischen diesen Formaten zu konvertieren:

• Raw linear sample (dd)
• Hibernation file (von Windows 7 und früher)
• Crash dump file
• VirtualBox ELF64 core dump
• VMware saved state and snapshot files
• EWF format (E01)
• LiME format
• Mach-O file format
• QEMU virtual machine dumps
• Firewire
• HPAK (FDPro)

Eine detailliertere Liste der Funktionen finden Sie unter:

https://github.com/volatilityfoundation/volatility/wiki

Siehe auch das Community-Plugins-Repository:

https://github.com/volatilityfoundation/community

Beispieldaten

Wenn Sie Volatility ausprobieren möchten, können Sie exemplarische Speicherabbilder von folgender URL herunterladen:

https://github.com/volatilityfoundation/volatility/wiki/Memory-Samples

Mailinglisten

Mailinglisten zur Unterstützung der Benutzer und Entwickler von Volatility finden Sie unter folgender Adresse:

http://lists.volatilesystems.com/mailman/listinfo

Kontakt

Für Informationen oder Anfragen wenden Sie sich an:

Volatility Foundation

Web: http://www.volatilityfoundation.org http://volatility-labs.blogspot.com http://volatility.tumblr.com

Email: volatility (at) volatilityfoundation (dot) org

IRC: #volatility auf freenode

Twitter: @volatility

Voraussetzungen

• Python 2.6 oder höher, aber nicht 3.0. http://www.python.org

Einige Plugins können weitere Anforderungen haben, die unter folgendem Link zu finden sind: https://github.com/volatilityfoundation/volatility/wiki/Installation

Schnellstart

1. Entpacken Sie die neueste Version von Volatility von volatilityfoundation.org

2. Um die verfügbaren Optionen zu sehen, führen Sie "python vol.py -h" oder "python vol.py --info" aus.

   Beispiel:

$ python vol.py --info Volatility Foundation Volatility Framework 2.6

Address Spaces

AMD64PagedMemory - Standard AMD 64-bit address space. ArmAddressSpace - Address space for ARM processors FileAddressSpace - This is a direct file AS. HPAKAddressSpace - This AS supports the HPAK format IA32PagedMemory - Standard IA-32 paging address space. IA32PagedMemoryPae - This class implements the IA-32 PAE paging address space. It is responsible LimeAddressSpace - Address space for Lime LinuxAMD64PagedMemory - Linux-specific AMD 64-bit address space. MachOAddressSpace - Address space for mach-o files to support atc-ny memory reader OSXPmemELF - This AS supports VirtualBox ELF64 coredump format QemuCoreDumpElf - This AS supports Qemu ELF32 and ELF64 coredump format VMWareAddressSpace - This AS supports VMware snapshot (VMSS) and saved state (VMSS) files VMWareMetaAddressSpace - This AS supports the VMEM format with VMSN/VMSS metadata VirtualBoxCoreDumpElf64 - This AS supports VirtualBox ELF64 coredump format Win10AMD64PagedMemory - Windows 10-specific AMD 64-bit address space. WindowsAMD64PagedMemory - Windows-specific AMD 64-bit address space. WindowsCrashDumpSpace32 - This AS supports windows Crash Dump format WindowsCrashDumpSpace64 - This AS supports windows Crash Dump format WindowsCrashDumpSpace64BitMap - This AS supports Windows BitMap Crash Dump format WindowsHiberFileSpace32 - This is a hibernate address space for windows hibernation files.