VolExp

Explorateur Volatility

Ce programme permet à l'utilisateur d'accéder à un dump mémoire. Il peut également fonctionner comme un plugin pour le framework Volatility (https://github.com/volatilityfoundation/volatility). Ce programme fonctionne de manière similaire à Process Explorer/Hacker, mais permet en plus à l'utilisateur d'accéder à un dump mémoire (ou d'accéder à la mémoire en temps réel de l'ordinateur en utilisant Memtriage). Ce programme peut fonctionner sur des machines Windows, Linux et MacOS, mais ne peut utiliser que des images mémoire Windows.

note : explorateur volatility pour volatility3 https://github.com/memoryforensics1/Vol3xp

Démarrage rapide

1. Téléchargez le fichier volexp.py (téléchargez également le fichier memtriage.py et remplacez-le par votre fichier memtriage.py si vous souhaitez utiliser memtriage https://github.com/gleeda/memtriage).

2. Exécutez comme un programme autonome ou comme un plugin pour Volatility :

• En tant que programme autonome :

 python2 volexp

• En tant que plugin Volatility :

 python2 vol.py -f <memory file path> --profile=<memory profile> volexp

Quelques fonctionnalités :

python2 memtriage.py --plugins=volexp

• Certaines informations affichées ne se mettront pas à jour en temps réel (sauf les informations sur les processus (mise à jour lente), des fonctions en temps réel comme l'analyseur de structures, les propriétés PE, exécution de plugin en temps réel, etc.).

• Le programme permet également de visualiser les DLL chargées, les handles ouverts et les connexions réseau de chaque processus (l'accès aux propriétés d'une DLL est également optionnel).

• Pour afficher plus d'informations sur un processus, double-cliquez (ou cliquez gauche et sélectionnez Propriétés) pour ouvrir une fenêtre d'informations.

• Ou afficher plus d'informations sur n'importe quel PE.

• Le programme permet à l'utilisateur de visualiser les fichiers dans le dump mémoire ainsi que leurs informations. De plus, il permet à l'utilisateur d'extraire ces fichiers (la vue HexDump/chaînes est également optionnelle).

• Le programme prend en charge la visualisation des objets Windows et des métadonnées des fichiers (MFT).

• Le programme prend également en charge l'affichage d'une vue du registre (regview) du dump mémoire.

• De plus, le programme prend en charge l'analyse des structures. (écriture sur la structure mémoire, exécution de fonctions Volatility sur une structure est disponible). Exemple d'obtention de tous les modules chargés à l'intérieur de la structure _EPROCESS dans une autre fenêtre d'analyseur de structures :

• Le programme est également capable de marquer automatiquement les processus suspects trouvés par un autre plugin. Exemple d'exécution du plugin threadmap :

• Visualiser l'utilisation mémoire d'un processus.

• Marquer manuellement un processus spécifique et lui ajouter une note marginale.

• Les actions de l'utilisateur peuvent être sauvegardées dans un fichier séparé pour une utilisation ultérieure.

obtenir de l'aide : https://github.com/memoryforensics1/VolExp/wiki/VolExp-help :