Vol3xp, Плагины проводника Volatility 3

WinObj -> Исследователь объектов ядра Windows - улучшенная версия https://github.com/kslgroup/WinObj для volatility 3 (winobj.py)

WinObj (очень похож на WinObj [sysinternals]) Также поддерживает Struct Analyzer и WinObjGui из VolExp.

RAMMap -> Отображение физических адресов (pfn.py)

RAMMap (очень похож на Rammap [SysInternals]), но дополнительно помечает любые подозрительные страницы (дополнительную информацию см. в pdf). Этот модуль содержит 3 плагина:

1. P2V - Преобразует физический адрес в виртуальный, используя PfnDatabase, и определяет владеющий процесс страницы (если таковой имеется).
2. PFNInfo - Предоставляет информацию о физической странице из PfnDatabase, использование страницы, имя файла и многое другое.
3. RAMMap - Использует оба вышеуказанных плагина. Отображает интерфейс, подобный RamMap, для всех физических страниц и подсвечивает подозрительные страницы. [Более подробную информацию о плагинах можно найти в pdf]

И главное событие -> Volatility Explorer (volexp.py)

Эта программа позволяет пользователю загрузить дамп памяти и легко перемещаться по нему с помощью графического интерфейса. Она также может функционировать как плагин для Volatility Framework (https://github.com/volatilityfoundation/volatility3). Эта программа работает аналогично Process Explorer/Hacker, но позволяет пользователю анализировать дамп памяти. Эта программа может запускаться на Windows, Linux и MacOS, но принимает только образы памяти Windows.

примечание: volatility explorer для volatility2 -> https://github.com/memoryforensics1/VolExp

Быстрый старт

1. Загрузите файл volexp.py (скачайте ).

2. Запустите как отдельную программу или как плагин для Volatility:

• Как отдельная программа:

 python3 volexp

• Как плагин Volatility:

 python3 vol.py -f <memory file path> windows.volexp.volexp

Некоторые функции:

python3 volexp.py

• Некоторое отображение информации не будет обновляться в реальном времени (кроме информации о процессах (обновляется медленно), функций реального времени, таких как struct analyzer, свойства PE, запуск плагина в реальном времени и т.д.).

• Программа также позволяет просматривать загруженные DLL, открытые дескрипторы и сетевые подключения каждого процесса (доступ к свойствам DLL также необязателен).

• Чтобы отобразить дополнительную информацию о процессе, дважды щелкните (или щелкните левой кнопкой мыши и выберите «Свойства»), чтобы открыть окно с информацией.

• Или отобразите дополнительную информацию о любом PE.

• Программа позволяет пользователю просматривать файлы в дампе памяти, а также их информацию. Кроме того, она позволяет извлекать эти файлы (просмотр HexDump/строк также необязателен).

• Программа поддерживает просмотр объектов Windows и метаданных файлов (MFT).

• Программа также поддерживает просмотр regview дампа памяти

• Кроме того, программа поддерживает анализ структур (запись на структуру памяти, доступен запуск функций Volatility на структуре). Пример получения всех загруженных модулей внутри структуры _EPROCESS в другом окне анализатора структур:

• Программа также способна автоматически помечать подозрительные процессы, обнаруженные другим плагином. Пример запуска плагина threadmap:

• Просмотр использования памяти процессом.

• Ручная пометка определенного процесса и добавление примечания к нему.

• Действия пользователя можно сохранить в отдельный файл для последующего использования.

получить помощь: https://github.com/memoryforensics1/VolExp/wiki/VolExp-help: