VolExp

Volatility 탐색기

이 프로그램은 메모리 덤프에 접근할 수 있게 해줍니다. 또한 Volatility 프레임워크(https://github.com/volatilityfoundation/volatility)의 플러그인으로도 작동할 수 있습니다. 이 프로그램은 Process Explorer/Hacker와 비슷한 방식으로 작동하지만, 추가로 메모리 덤프에 접근하거나(Memtriage를 사용하여 컴퓨터의 실시간 메모리에 접근)할 수 있습니다. 이 프로그램은 Windows, Linux 및 MacOS 시스템에서 실행할 수 있지만, Windows 메모리 이미지만 사용할 수 있습니다.

참고: volatility3용 volatility 탐색기 https://github.com/memoryforensics1/Vol3xp

빠른 시작

1. volexp.py 파일을 다운로드합니다. (memtriage를 사용하려면 memtriage.py 파일도 다운로드하여 기존 memtriage.py 파일과 교체하세요 https://github.com/gleeda/memtriage).

2. 독립 실행 프로그램 또는 Volatility 플러그인으로 실행:

• 독립 실행 프로그램:

 python2 volexp

• Volatility 플러그인으로:

 python2 vol.py -f <메모리 파일 경로> --profile=<메모리 프로필> volexp

일부 기능:

python2 memtriage.py --plugins=volexp

• 표시되는 정보 중 일부는 실시간으로 업데이트되지 않습니다(프로세스 정보는 느리게 업데이트됨, struct analyzer, PE 속성, 실시간 플러그인 실행 등의 실시간 기능 제외).

• 또한 각 프로세스의 로드된 DLL, 열린 핸들 및 네트워크 연결을 볼 수 있습니다(DLL 속성에 접근하는 것도 선택 사항).

• 프로세스에 대한 추가 정보를 표시하려면 더블 클릭(또는 왼쪽 클릭 후 속성 선택)하여 정보 창을 엽니다.

• 또는 모든 PE에 대한 추가 정보를 표시합니다.

• 이 프로그램을 사용하면 메모리 덤프 내의 파일과 해당 정보를 볼 수 있습니다. 또한 해당 파일을 추출할 수 있습니다(HexDump/문자열 보기도 선택 사항).

• 이 프로그램은 Windows 개체 및 파일의 메타데이터(MFT) 보기를 지원합니다.

• 또한 메모리 덤프의 레지스트리 보기(regview)를 지원합니다.

• 추가로, 구조체 분석(struct analysis)을 지원합니다(메모리 구조체에 쓰기, 구조체에 Volatility 함수 실행 가능). 다른 구조체 분석기 창에서 _EPROCESS 구조체 내의 모든 로드 모듈을 가져오는 예시:

• 또한 다른 플러그인이 찾은 의심스러운 프로세스를 자동으로 표시할 수 있습니다. threadmap 플러그인 실행 예시:

• 프로세스의 메모리 사용량을 봅니다.

• 특정 프로세스를 수동으로 표시하고 그에 대한 메모를 추가할 수 있습니다.

• 사용자의 작업은 나중에 사용하기 위해 별도의 파일에 저장할 수 있습니다.

도움말: https://github.com/memoryforensics1/VolExp/wiki/VolExp-help: