VolExp

Volatility Explorer

यह प्रोग्राम उपयोगकर्ता को मेमोरी डंप तक पहुँचने की अनुमति देता है। यह Volatility Framework (https://github.com/volatilityfoundation/volatility) के लिए एक प्लगइन के रूप में भी कार्य कर सकता है। यह प्रोग्राम Process Explorer/Hacker के समान कार्य करता है, लेकिन इसके अतिरिक्त यह उपयोगकर्ता को मेमोरी डंप तक पहुँच प्रदान करता है (या Memtriage का उपयोग करके कंप्यूटर की रीयल-टाइम मेमोरी तक पहुँच प्रदान करता है)। यह प्रोग्राम Windows, Linux और MacOS मशीनों से चल सकता है, लेकिन केवल Windows मेमोरी इमेज का उपयोग कर सकता है।

नोट: volatility explorer volatility3 के लिए https://github.com/memoryforensics1/Vol3xp

त्वरित आरंभ

1. volexp.py फ़ाइल डाउनलोड करें (यदि आप memtriage का उपयोग करना चाहते हैं तो memtriage.py फ़ाइल भी डाउनलोड करें और इसे अपनी memtriage.py फ़ाइल से बदलें https://github.com/gleeda/memtriage)।

2. एक स्टैंडअलोन प्रोग्राम के रूप में या Volatility के प्लगइन के रूप में चलाएँ:

• एक स्टैंडअलोन प्रोग्राम के रूप में:

 python2 volexp

• Volatility प्लगइन के रूप में:

 python2 vol.py -f <memory file path> --profile=<memory profile> volexp

कुछ विशेषताएँ:

python2 memtriage.py --plugins=volexp

• कुछ जानकारी का प्रदर्शन रीयल टाइम में अपडेट नहीं होगा (प्रक्रियाओं की जानकारी को छोड़कर (धीरे-धीरे अपडेट होता है), struct analyzer, PE गुण, रीयल टाइम प्लगइन चलाना आदि जैसे रीयल टाइम फ़ंक्शन)।

• प्रोग्राम लोड की गई dll's, खुले हैंडल और प्रत्येक प्रक्रिया के नेटवर्क कनेक्शन देखने की भी अनुमति देता है (dll के गुणों तक पहुँच वैकल्पिक भी है)।

• किसी प्रक्रिया के बारे में अधिक जानकारी प्रस्तुत करने के लिए, सूचना विंडो लाने के लिए डबल-क्लिक करें (या Left-Click करें और Properties चुनें)।

• या किसी भी PE पर अधिक जानकारी प्रस्तुत करें।

• प्रोग्राम उपयोगकर्ता को मेमोरी डंप में फ़ाइलों के साथ-साथ उनकी जानकारी देखने की अनुमति देता है। इसके अतिरिक्त यह उपयोगकर्ता को उन फ़ाइलों को निकालने की अनुमति देता है (HexDump/strings दृश्य भी वैकल्पिक है)।

• प्रोग्राम Windows Objects और फ़ाइलों के मेटाडेटा (MFT) के दृश्य का समर्थन करता है।

• प्रोग्राम मेमोरी डंप के regview को देखने का भी समर्थन करता है।

• इसके अतिरिक्त, प्रोग्राम struct विश्लेषण का समर्थन करता है। (मेमोरी के struct पर लिखना, struct पर Volatility फ़ंक्शन चलाना उपलब्ध है)। दूसरे struct analyzer विंडो में _EPROCESS struct के अंदर सभी लोड मॉड्यूल प्राप्त करने का उदाहरण:

• प्रोग्राम किसी अन्य प्लगइन द्वारा पाए गए संदिग्ध प्रक्रियाओं को स्वचालित रूप से चिह्नित करने में भी सक्षम है। चल रहे threadmap प्लगइन का उदाहरण:

• किसी प्रक्रिया की मेमोरी उपयोग देखें।

• किसी विशेष प्रक्रिया को मैन्युअल रूप से चिह्नित करना और उस पर एक साइडनोट जोड़ना।

• उपयोगकर्ता के कार्यों को बाद में उपयोग के लिए एक अलग फ़ाइल पर सहेजा जा सकता है।

सहायता प्राप्त करें: https://github.com/memoryforensics1/VolExp/wiki/VolExp-help: