VolExp

Volatility Explorer

Este programa permite ao usuário acessar um Memory Dump. Ele também pode funcionar como um plugin para o Volatility Framework (https://github.com/volatilityfoundation/volatility). Este programa funciona de forma semelhante ao Process Explorer/Hacker, mas adicionalmente permite ao usuário acessar um Memory Dump (ou acessar a memória em tempo real no computador usando Memtriage). Este programa pode ser executado a partir de máquinas Windows, Linux e MacOS, mas só pode usar imagens de memória Windows.

nota: volatility explorer para volatility3 https://github.com/memoryforensics1/Vol3xp

Início Rápido

1. Baixe o arquivo volexp.py (baixe também o arquivo memtriage.py e substitua pelo seu arquivo memtriage.py se quiser usar memtriage https://github.com/gleeda/memtriage).

2. Execute como um programa independente ou como um plugin para o Volatility:

• Como um programa independente:

 python2 volexp

• Como um plugin do Volatility:

 python2 vol.py -f <caminho do arquivo de memória> --profile=<perfil de memória> volexp

Algumas Funcionalidades:

python2 memtriage.py --plugins=volexp

• Algumas das informações exibidas não serão atualizadas em tempo real (exceto informações de Processos (atualização lenta), funções em tempo real como analisador de struct, propriedades de PE, executar plugin em tempo real, etc.).

• O programa também permite visualizar DLLs carregadas, handles abertos e conexões de rede de cada processo (o acesso às propriedades de uma DLL também é opcional).

• Para apresentar mais informações de um processo, clique duas vezes (ou clique com o botão esquerdo e selecione Propriedades) para abrir uma janela de informações.

• Ou apresente mais informações sobre qualquer PE.

• O programa permite ao usuário visualizar os arquivos no Memory Dump, bem como suas informações. Além disso, permite extrair esses arquivos (HexDump/visualização de strings também é opcional).

• O programa suporta a visualização dos Objetos do Windows e metadados de arquivos (MFT).

• O programa também suporta a visualização de uma regview do memory dump.

• Além disso, o programa suporta análise de struct. (escrever na struct da memória, executar funções do Volatility em uma struct está disponível). Exemplo de obtenção de todos os módulos de carga dentro da struct _EPROCESS em outra janela do analisador de struct:

• O programa também é capaz de marcar automaticamente processos suspeitos encontrados por outro plugin. Exemplo de execução de um plugin threadmap:

• Visualizar o uso de memória de um processo.

• Marcar manualmente um determinado processo e adicionar uma nota lateral sobre ele.

• As ações do usuário podem ser salvas em um arquivo separado para uso posterior.

obter ajuda: https://github.com/memoryforensics1/VolExp/wiki/VolExp-help: