volatilityfoundation/volatilityUn framework avanzato per l'analisi forense della memoria
Questo progetto è archiviato. Vedi Volatility 3 per indagini moderne: https://github.com/volatilityfoundation/volatility3
Il Volatility Framework è una raccolta completamente aperta di strumenti, implementata in Python sotto licenza GNU General Public License, per l'estrazione di artefatti digitali da campioni di memoria volatile (RAM). Le tecniche di estrazione vengono eseguite in modo completamente indipendente dal sistema sotto indagine ma offrono visibilità sullo stato di runtime del sistema. Il framework è pensato per introdurre le persone alle tecniche e complessità associate all'estrazione di artefatti digitali da campioni di memoria volatile e fornire una piattaforma per ulteriori lavori in questa entusiasmante area di ricerca.
La distribuzione di Volatility è disponibile da: http://www.volatilityfoundation.org/#!releases/component_71401
Volatility dovrebbe funzionare su qualsiasi piattaforma che supporti Python (http://www.python.org)
Volatility supporta indagini sulle seguenti immagini di memoria:
Windows:
Nota: consulta le linee guida al seguente link per note sulla compatibilità con campioni di memoria Windows 7 (o successivi) con patch recenti:
https://github.com/volatilityfoundation/volatility/wiki/2.6-Win-Profiles
Linux:
Mac OSX:
Volatility non fornisce capacità di acquisizione di campioni di memoria. Per l'acquisizione, sono disponibili sia soluzioni gratuite che commerciali. Se desideri suggerimenti su soluzioni di acquisizione adatte, contattaci a:
volatility (at) volatilityfoundation (dot) org
Volatility supporta una varietà di formati di file campione e la capacità di convertire tra questi formati:
Per un elenco più dettagliato delle capacità, vedere il seguente:
https://github.com/volatilityfoundation/volatility/wiki
Vedere anche il repository dei plugin della comunità:
https://github.com/volatilityfoundation/community
Se vuoi provare Volatility, puoi scaricare immagini di memoria esemplari dal seguente URL:
https://github.com/volatilityfoundation/volatility/wiki/Memory-Samples
Le mailing list per supportare gli utenti e gli sviluppatori di Volatility si trovano al seguente indirizzo:
http://lists.volatilesystems.com/mailman/listinfo
Per informazioni o richieste, contattare:
Volatility Foundation
Web: http://www.volatilityfoundation.org http://volatility-labs.blogspot.com http://volatility.tumblr.com
Email: volatility (at) volatilityfoundation (dot) org
IRC: #volatility su freenode
Twitter: @volatility
Alcuni plugin potrebbero avere altri requisiti che si possono trovare su: https://github.com/volatilityfoundation/volatility/wiki/Installation
Decomprimi l'ultima versione di Volatility da volatilityfoundation.org
Per vedere le opzioni disponibili, esegui "python vol.py -h" o "python vol.py --info"
Esempio:
$ python vol.py --info Volatility Foundation Volatility Framework 2.6
AMD64PagedMemory - Standard AMD 64-bit address space. ArmAddressSpace - Address space for ARM processors FileAddressSpace - This is a direct file AS. HPAKAddressSpace - This AS supports the HPAK format IA32PagedMemory - Standard IA-32 paging address space. IA32PagedMemoryPae - This class implements the IA-32 PAE paging address space. It is responsible LimeAddressSpace - Address space for Lime LinuxAMD64PagedMemory - Linux-specific AMD 64-bit address space. MachOAddressSpace - Address space for mach-o files to support atc-ny memory reader OSXPmemELF - This AS supports VirtualBox ELF64 coredump format QemuCoreDumpElf - This AS supports Qemu ELF32 and ELF64 coredump format VMWareAddressSpace - This AS supports VMware snapshot (VMSS) and saved state (VMSS) files VMWareMetaAddressSpace - This AS supports the VMEM format with VMSN/VMSS metadata VirtualBoxCoreDumpElf64 - This AS supports VirtualBox ELF64 coredump format Win10AMD64PagedMemory - Windows 10-specific AMD 64-bit address space. WindowsAMD64PagedMemory - Windows-specific AMD 64-bit address space. WindowsCrashDumpSpace32 - This AS supports windows Crash Dump format WindowsCrashDumpSpace64 - This AS supports windows Crash Dump format WindowsCrashDumpSpace64BitMap - This AS supports Windows BitMap Crash Dump format WindowsHiberFileSpace32 - This is a hibernate address space for windows hibernation files.