VolExp

Volatility Explorer

Questo programma permette all'utente di accedere a un Memory Dump. Può anche funzionare come plugin per il Volatility Framework (https://github.com/volatilityfoundation/volatility). Questo programma funziona in modo simile a Process Explorer/Hacker, ma in più permette all'utente di accedere a un Memory Dump (o di accedere alla memoria in tempo reale del computer utilizzando Memtriage). Questo programma può essere eseguito su macchine Windows, Linux e MacOS, ma può utilizzare solo immagini di memoria Windows.

nota: Volatility Explorer per Volatility3 https://github.com/memoryforensics1/Vol3xp

Avvio Rapido

1. Scarica il file volexp.py (scarica anche il file memtriage.py e sostituiscilo con il tuo file memtriage.py se vuoi usare memtriage https://github.com/gleeda/memtriage).

2. Eseguilo come programma autonomo o come plugin per Volatility:

• Come programma autonomo:

 python2 volexp

• Come plugin Volatility:

 python2 vol.py -f <percorso file memoria> --profile=<profilo memoria> volexp

Alcune Funzionalità:

python2 memtriage.py --plugins=volexp

• Alcune informazioni visualizzate non si aggiorneranno in tempo reale (tranne le informazioni sui processi (si aggiornano lentamente), funzioni in tempo reale come struct analyzer, proprietà PE, esecuzione plugin in tempo reale, ecc.).

• Il programma permette anche di visualizzare le DLL caricate, gli handle aperti e le connessioni di rete di ogni processo (l'accesso alle proprietà di una DLL è anche opzionale).

• Per presentare maggiori informazioni su un processo, fare doppio clic (o clic sinistro e selezionare Proprietà) per aprire una finestra informativa.

• Oppure presentare maggiori informazioni su qualsiasi PE.

• Il programma permette all'utente di visualizzare i file nel Memory Dump e le loro informazioni. Inoltre permette all'utente di estrarre questi file (è anche opzionale la visualizzazione HexDump/stringhe).

• Il programma supporta la visualizzazione degli oggetti di Windows e dei metadati dei file (MFT).

• Il programma supporta anche la visualizzazione del registro del memory dump

• Inoltre, il programma supporta l'analisi delle strutture. (scrivere sulla struttura della memoria, eseguire funzioni di Volatility su una struttura è disponibile). Esempio di ottenimento di tutti i moduli caricati all'interno della struttura _EPROCESS in un'altra finestra di struct analyzer:

• Il programma è anche in grado di marcare automaticamente processi sospetti trovati da un altro plugin. Esempio di esecuzione del plugin threadmap:

• Visualizzare l'utilizzo della memoria di un processo.

• Marcare manualmente un determinato processo e aggiungervi una nota a margine.

• Le azioni dell'utente possono essere salvate in un file separato per un uso successivo.

ottieni aiuto: https://github.com/memoryforensics1/VolExp/wiki/VolExp-help: