volatilityfoundation/volatilityUn framework avanzado de forensia de memoria
Este proyecto está archivado. Consulte Volatility 3 para investigaciones modernas: https://github.com/volatilityfoundation/volatility3
El Volatility Framework es una colección completamente abierta de herramientas, implementada en Python bajo la Licencia Pública General de GNU, para la extracción de artefactos digitales de muestras de memoria volátil (RAM). Las técnicas de extracción se realizan de manera completamente independiente del sistema investigado pero ofrecen visibilidad del estado de ejecución del sistema. El framework está diseñado para introducir a las personas en las técnicas y complejidades asociadas con la extracción de artefactos digitales de muestras de memoria volátil y proporcionar una plataforma para trabajos futuros en esta emocionante área de investigación.
La distribución de Volatility está disponible en: http://www.volatilityfoundation.org/#!releases/component_71401
Volatility debería ejecutarse en cualquier plataforma que soporte Python (http://www.python.org)
Volatility soporta investigaciones de las siguientes imágenes de memoria:
Windows:
Nota: Consulte las pautas en el siguiente enlace para notas sobre compatibilidad con muestras de memoria de Windows 7 (o posterior) recientemente parcheadas:
https://github.com/volatilityfoundation/volatility/wiki/2.6-Win-Profiles
Linux:
Mac OSX:
Volatility no proporciona capacidades de adquisición de muestras de memoria. Para la adquisición, existen soluciones tanto gratuitas como comerciales disponibles. Si desea sugerencias sobre soluciones de adquisición adecuadas, contáctenos en:
volatility (arroba) volatilityfoundation (punto) org
Volatility soporta una variedad de formatos de archivo de muestras y la capacidad de convertir entre estos formatos:
Para una lista más detallada de capacidades, consulte lo siguiente:
https://github.com/volatilityfoundation/volatility/wiki
Vea también el repositorio de plugins de la comunidad:
https://github.com/volatilityfoundation/community
Si desea probar Volatility, puede descargar imágenes de memoria de ejemplo desde la siguiente URL:
https://github.com/volatilityfoundation/volatility/wiki/Memory-Samples
Las listas de correo para soportar a los usuarios y desarrolladores de Volatility se pueden encontrar en la siguiente dirección:
http://lists.volatilesystems.com/mailman/listinfo
Para información o solicitudes, contacte a:
Volatility Foundation
Web: http://www.volatilityfoundation.org http://volatility-labs.blogspot.com http://volatility.tumblr.com
Correo electrónico: volatility (arroba) volatilityfoundation (punto) org
IRC: #volatility en freenode
Twitter: @volatility
Algunos plugins pueden tener otros requisitos que se pueden encontrar en: https://github.com/volatilityfoundation/volatility/wiki/Installation
Descomprima la última versión de Volatility desde volatilityfoundation.org
Para ver las opciones disponibles, ejecute "python vol.py -h" o "python vol.py --info"
Ejemplo:
$ python vol.py --info Volatility Foundation Volatility Framework 2.6
AMD64PagedMemory - Espacio de dirección AMD64 estándar. ArmAddressSpace - Espacio de dirección para procesadores ARM FileAddressSpace - Este es un AS de archivo directo. HPAKAddressSpace - Este AS soporta el formato HPAK IA32PagedMemory - Espacio de dirección de paginación IA-32 estándar. IA32PagedMemoryPae - Esta clase implementa el espacio de dirección de paginación IA-32 PAE. Es responsable LimeAddressSpace - Espacio de dirección para Lime LinuxAMD64PagedMemory - Espacio de dirección AMD64 específico de Linux. MachOAddressSpace - Espacio de dirección para archivos mach-o para soportar el lector de memoria atc-ny OSXPmemELF - Este AS soporta el formato de volcado de núcleo ELF64 de VirtualBox QemuCoreDumpElf - Este AS soporta el formato de volcado de núcleo ELF32 y ELF64 de Qemu VMWareAddressSpace - Este AS soporta archivos de snapshot (VMSS) y estado guardado (VMSS) de VMware VMWareMetaAddressSpace - Este AS soporta el formato VMEM con metadatos VMSN/VMSS VirtualBoxCoreDumpElf64 - Este AS soporta el formato de volcado de núcleo ELF64 de VirtualBox Win10AMD64PagedMemory - Espacio de dirección AMD64 específico de Windows 10. WindowsAMD64PagedMemory - Espacio de dirección AMD64 específico de Windows. WindowsCrashDumpSpace32 - Este AS soporta el formato de volcado de fallo de Windows WindowsCrashDumpSpace64 - Este AS soporta el formato de volcado de fallo de Windows WindowsCrashDumpSpace64BitMap - Este AS soporta el formato de volcado de fallo BitMap de Windows WindowsHiberFileSpace32 - Este es un espacio de dirección de hibernación para archivos de hibernación de Windows.