VolExp

Volatility Explorer

该程序允许用户访问内存转储。它也可以作为 Volatility 框架（https://github.com/volatilityfoundation/volatility）的插件运行。 该程序的功能类似于 Process Explorer/Hacker，但此外它还允许用户访问内存转储（或使用 Memtriage 访问计算机的实时内存）。 该程序可在 Windows、Linux 和 MacOS 机器上运行，但只能使用 Windows 内存映像。

注意：针对 volatility3 的 volatility explorer：https://github.com/memoryforensics1/Vol3xp

快速开始

1. 下载 volexp.py 文件（如果希望使用 memtriage，还需下载 memtriage.py 文件并用其替换您现有的 memtriage.py 文件 https://github.com/gleeda/memtriage）。

2. 作为独立程序或 Volatility 插件运行：

• 作为独立程序：

 python2 volexp

• 作为 Volatility 插件：

 python2 vol.py -f <内存文件路径> --profile=<内存配置文件> volexp

一些功能特性：

python2 memtriage.py --plugins=volexp

• 部分信息显示不会实时更新（进程信息除外（更新缓慢），实时功能如结构体分析器、PE 属性、运行实时插件等可能会更新）。

• 该程序还允许查看每个进程已加载的 DLL、打开的句柄和网络连接（可选择性访问 DLL 的属性）。

• 要显示进程的更多信息，双击（或左键单击并选择“属性”）打开信息窗口。

• 或显示任意 PE 的更多信息。

• 该程序允许用户查看内存转储中的文件及其信息。此外，它还允许用户提取这些文件（可选择性查看 HexDump/字符串）。

• 该程序支持查看 Windows 对象和文件的元数据（MFT）。

• 该程序还支持以注册表视图查看内存转储。

• 此外，该程序支持结构体分析。（可对内存结构体进行写入，并运行 Volatility 函数）。例如，在另一个结构体分析器窗口中获取 _EPROCESS 结构体内的所有加载模块：

• 该程序还能自动标记由其他插件发现的可疑进程。例如，运行 threadmap 插件：

• 查看进程的内存使用情况。

• 手动标记某个进程并添加旁注。

• 用户操作可保存到单独的文件中以备将来使用。

获取帮助：https://github.com/memoryforensics1/VolExp/wiki/VolExp-help：