VolExp

Volatility エクスプローラ

このプログラムは、メモリダンプへのアクセスをユーザーに提供します。また、Volatility Framework (https://github.com/volatilityfoundation/volatility) のプラグインとしても機能します。 このプログラムは Process Explorer/Hacker と同様に機能しますが、さらにメモリダンプへのアクセス（または Memtriage を使用したコンピュータ上のリアルタイムメモリへのアクセス）をユーザーに提供します。 このプログラムは Windows、Linux、MacOS マシンで実行できますが、Windows メモリイメージのみを使用できます。

注: volatility explorer for volatility3 https://github.com/memoryforensics1/Vol3xp

クイックスタート

1. volexp.py ファイルをダウンロードします（memtriage を使用する場合は、memtriage.py ファイルもダウンロードし、既存の memtriage.py ファイルと置き換えてください https://github.com/gleeda/memtriage）。

2. スタンドアロンプログラムとして、または Volatility のプラグインとして実行します：

• スタンドアロンプログラムとして:

 python2 volexp

• Volatility プラグインとして:

 python2 vol.py -f <memory file path> --profile=<memory profile> volexp

一部の機能

python2 memtriage.py --plugins=volexp

• 一部の情報表示はリアルタイムで更新されません（プロセス情報（ゆっくり更新）、struct analyzer、PE プロパティ、リアルタイムプラグインの実行などのリアルタイム機能を除く）。

• このプログラムは、各プロセスのロードされた DLL、開いているハンドル、ネットワーク接続を表示することもできます（DLL のプロパティへのアクセスもオプションです）。

• プロセスの詳細情報を表示するには、ダブルクリック（または左クリックしてプロパティを選択）して情報ウィンドウを開きます。

• または、任意の PE の詳細情報を表示します。

• このプログラムは、メモリダンプ内のファイルとその情報を表示できます。さらに、それらのファイルの抽出も可能です（HexDump/文字列表示もオプション）。

• このプログラムは、Windows オブジェクトとファイルのメタデータ（MFT）の表示をサポートしています。

• このプログラムは、メモリダンプのレジストリビューの表示もサポートしています。

• さらに、このプログラムは構造体解析をサポートしています。（メモリの構造体への書き込み、構造体に対する Volatility 関数の実行が可能です。） 別の構造体アナライザウィンドウで _EPROCESS 構造体内のすべてのロードモジュールを取得する例：

• このプログラムは、別のプラグインによって発見された疑わしいプロセスを自動的にマークすることもできます。 実行中の threadmap プラグインの例：

• プロセスのメモリ使用量を表示します。

• 特定のプロセスを手動でマークし、それにサイドノートを追加します。

• ユーザーの操作は、後で使用するために別のファイルに保存できます。

ヘルプの入手: https://github.com/memoryforensics1/VolExp/wiki/VolExp-help: