VolExp

Volatility Explorer

Эта программа позволяет пользователю получить доступ к дампу памяти. Она также может работать как плагин для Volatility Framework (https://github.com/volatilityfoundation/volatility). Эта программа работает аналогично Process Explorer/Hacker, но дополнительно предоставляет пользователю доступ к дампу памяти (или к памяти в реальном времени на компьютере с помощью Memtriage). Эта программа может запускаться на Windows, Linux и MacOS, но может использовать только образы памяти Windows.

примечание: volatility explorer для volatility3 https://github.com/memoryforensics1/Vol3xp

Быстрый старт

1. Загрузите файл volexp.py (также загрузите файл memtriage.py и замените им свой файл memtriage.py, если хотите использовать memtriage https://github.com/gleeda/memtriage).

2. Запустите как отдельную программу или как плагин для Volatility:

• В качестве отдельной программы:

 python2 volexp

• В качестве плагина Volatility:

 python2 vol.py -f <memory file path> --profile=<memory profile> volexp

Некоторые возможности:

python2 memtriage.py --plugins=volexp

• Некоторые данные не обновляются в реальном времени (кроме информации о процессах (обновляется медленно), функций реального времени, таких как struct analyzer, свойства PE, запуск плагина в реальном времени и т.д.).

• Программа также позволяет просматривать загруженные DLL, открытые дескрипторы и сетевые подключения каждого процесса (доступ к свойствам DLL также опционален).

• Для отображения дополнительной информации о процессе дважды щелкните (или щелкните левой кнопкой и выберите «Свойства»), чтобы открыть окно с информацией.

• Или отобразить дополнительную информацию о любом PE-файле.

• Программа позволяет пользователю просматривать файлы в дампе памяти, а также их информацию. Кроме того, она позволяет извлекать эти файлы (просмотр HexDump/строк также опционален).

• Программа поддерживает просмотр объектов Windows и метаданных файлов (MFT).

• Программа также поддерживает просмотр реестра (regview) из дампа памяти

• Кроме того, программа поддерживает анализ структур (доступна запись в структуру памяти, выполнение функций Volatility над структурой). Пример получения всех загруженных модулей внутри структуры _EPROCESS в другом окне анализа структур:

• Программа также способна автоматически помечать подозрительные процессы, обнаруженные другим плагином. Пример запущенного плагина threadmap:

• Просмотр использования памяти процессом.

• Ручное помечание определенного процесса и добавление заметки к нему.

• Действия пользователя могут быть сохранены в отдельный файл для последующего использования.

получение справки: https://github.com/memoryforensics1/VolExp/wiki/VolExp-help: