Ce projet est archivé. Voir Volatility 3 pour les enquêtes modernes : https://github.com/volatilityfoundation/volatility3

============================================================================ Volatility Framework - Cadre utilitaire d'extraction de mémoire volatile

Le Volatility Framework est un ensemble d'outils complètement ouvert, implémenté en Python sous la licence publique générale GNU, pour l'extraction d'artefacts numériques à partir d'échantillons de mémoire volatile (RAM). Les techniques d'extraction sont réalisées de manière totalement indépendante du système analysé mais offrent une visibilité sur l'état d'exécution du système. Le framework est destiné à initier les personnes aux techniques et aux complexités associées à l'extraction d'artefacts numériques à partir d'échantillons de mémoire volatile et à fournir une plateforme pour des travaux ultérieurs dans ce domaine de recherche passionnant.

La distribution Volatility est disponible sur : http://www.volatilityfoundation.org/#!releases/component_71401

Volatility devrait fonctionner sur toute plateforme supportant Python (http://www.python.org)

Volatility prend en charge les investigations sur les images mémoire suivantes :

Windows :

Windows XP 32 bits Service Pack 2 et 3
Windows 2003 Server 32 bits Service Pack 0, 1, 2
Windows Vista 32 bits Service Pack 0, 1, 2
Windows 2008 Server 32 bits Service Pack 1, 2 (pas de SP0)
Windows 7 32 bits Service Pack 0, 1
Windows 8, 8.1 et 8.1 Update 1 32 bits
Windows 10 32 bits (support initial)
Windows XP 64 bits Service Pack 1 et 2 (pas de SP0)
Windows 2003 Server 64 bits Service Pack 1 et 2 (pas de SP0)
Windows Vista 64 bits Service Pack 0, 1, 2
Windows 2008 Server 64 bits Service Pack 1 et 2 (pas de SP0)
Windows 2008 R2 Server 64 bits Service Pack 0 et 1
Windows 7 64 bits Service Pack 0 et 1
Windows 8, 8.1 et 8.1 Update 1 64 bits
Windows Server 2012 et 2012 R2 64 bits
Windows 10 64 bits (incluant au moins 10.0.19041)
Windows Server 2016 64 bits (incluant au moins 10.0.19041)

Remarque : Veuillez consulter les directives au lien suivant pour des notes sur la compatibilité avec les échantillons mémoire Windows 7 (ou version ultérieure) récemment patchés :

https://github.com/volatilityfoundation/volatility/wiki/2.6-Win-Profiles

Linux :

Noyaux Linux 32 bits 2.6.11 à 5.5
Noyaux Linux 64 bits 2.6.11 à 5.5
OpenSuSE, Ubuntu, Debian, CentOS, Fedora, Mandriva, etc.

Mac OSX :

10.5.x Leopard 32 bits (le seul 10.5 64 bits est Server, qui n'est pas supporté)
10.6.x Snow Leopard 32 bits
10.6.x Snow Leopard 64 bits
10.7.x Lion 32 bits
10.7.x Lion 64 bits
10.8.x Mountain Lion 64 bits (pas de version 32 bits)
10.9.x Mavericks 64 bits (pas de version 32 bits)
10.10.x Yosemite 64 bits (pas de version 32 bits)
10.11.x El Capitan 64 bits (pas de version 32 bits)
10.12.x Sierra 64 bits (pas de version 32 bits)
10.13.x High Sierra 64 bits (pas de version 32 bits)
10.14.x Mojave 64 bits (pas de version 32 bits)
10.15.x Catalina 64 bits (pas de version 32 bits)

Volatility ne fournit pas de capacités d'acquisition d'échantillons mémoire. Pour l'acquisition, il existe des solutions gratuites et commerciales disponibles. Si vous souhaitez des suggestions concernant des solutions d'acquisition adaptées, veuillez nous contacter à :

volatility (at) volatilityfoundation (dot) org

Volatility prend en charge une variété de formats de fichiers d'échantillons et la possibilité de convertir entre ces formats :

Échantillon linéaire brut (dd)
Fichier d'hibernation (de Windows 7 et versions antérieures)
Fichier de vidage sur incident (crash dump)
Vidage mémoire noyau ELF64 VirtualBox
Fichiers d'état sauvegardé et d'instantané VMware
Format EWF (E01)
Format LiME
Format de fichier Mach-O
Vidages de machines virtuelles QEMU
Firewire
HPAK (FDPro)

Pour une liste plus détaillée des capacités, voir :

https://github.com/volatilityfoundation/volatility/wiki

Voir aussi le dépôt de plugins communautaires :

https://github.com/volatilityfoundation/community

Exemples de données

Si vous souhaitez essayer Volatility, vous pouvez télécharger des images mémoire exemplaires à l'URL suivante :

https://github.com/volatilityfoundation/volatility/wiki/Memory-Samples

Listes de diffusion

Les listes de diffusion pour soutenir les utilisateurs et développeurs de Volatility se trouvent à l'adresse suivante :

http://lists.volatilesystems.com/mailman/listinfo

Contact

Pour des informations ou des demandes, contactez :

Volatility Foundation

Web : http://www.volatilityfoundation.org http://volatility-labs.blogspot.com http://volatility.tumblr.com

Email : volatility (at) volatilityfoundation (dot) org

IRC : #volatility sur freenode

Twitter : @volatility

Prérequis

Python 2.6 ou ultérieur, mais pas 3.0. http://www.python.org

Certains plugins peuvent avoir d'autres prérequis, qui se trouvent sur : https://github.com/volatilityfoundation/volatility/wiki/Installation

Démarrage rapide

Décompressez la dernière version de Volatility depuis volatilityfoundation.org
Pour voir les options disponibles, exécutez "python vol.py -h" ou "python vol.py --info"

Exemple :

$ python vol.py --info Volatility Foundation Volatility Framework 2.6

Address Spaces

AMD64PagedMemory - Standard AMD 64-bit address space. ArmAddressSpace - Address space for ARM processors FileAddressSpace - This is a direct file AS. HPAKAddressSpace - This AS supports the HPAK format IA32PagedMemory - Standard IA-32 paging address space. IA32PagedMemoryPae - This class implements the IA-32 PAE paging address space. It is responsible LimeAddressSpace - Address space for Lime LinuxAMD64PagedMemory - Linux-specific AMD 64-bit address space. MachOAddressSpace - Address space for mach-o files to support atc-ny memory reader OSXPmemELF - This AS supports VirtualBox ELF64 coredump format QemuCoreDumpElf - This AS supports Qemu ELF32 and ELF64 coredump format VMWareAddressSpace - This AS supports VMware snapshot (VMSS) and saved state (VMSS) files VMWareMetaAddressSpace - This AS supports the VMEM format with VMSN/VMSS metadata VirtualBoxCoreDumpElf64 - This AS supports VirtualBox ELF64 coredump format Win10AMD64PagedMemory - Windows 10-specific AMD 64-bit address space. WindowsAMD64PagedMemory - Windows-specific AMD 64-bit address space. WindowsCrashDumpSpace32 - This AS supports windows Crash Dump format WindowsCrashDumpSpace64 - This AS supports windows Crash Dump format WindowsCrashDumpSpace64BitMap - This AS supports Windows BitMap Crash Dump format WindowsHiberFileSpace32 - This is a hibernate address space for windows hibernation files.

volatility

Populaires