WinPmem 采集什么
WinPmem 是 Windows 侧常用的内存采集工具：命令行直接输出 raw 镜像，配合哈希计算完成固定。内存镜像里能找到无文件落地运行的代码、已解密的凭据，以及进程注入与隐藏模块的痕迹。
时机比工具更重要
内存是最高易失的证据：重启会清空，登录与新进程会改变现场。因此采集应排在磁盘镜像之前，且在此之前不要让其他人登录或操作目标主机。
基本信息
| 工具形态 | WinPmem 命令行版本（如 winpmem_mini_x64.exe） |
|---|---|
| 典型命令 | winpmem_mini_x64.exe C:\evidence\mem.raw |
| 输出格式 | raw 通用性最好，其他格式需对应驱动与工具链 |
| 镜像体积 | 约等于物理内存大小 |
| 固定方式 | Get-FileHash -Algorithm SHA256 |
| 权限要求 | 需管理员权限运行 |
典型使用场景
- 怀疑存在无文件攻击时采集内存
- 提取内存中的凭据与解密密钥
- 分析进程注入与隐藏模块
- 处置前固定易失证据
- 为内存分析工具提供输入数据
采集并固定内存镜像
采集并固定内存镜像
New-Item -ItemType Directory -Force C:\evidence | Out-Null
.\winpmem_mini_x64.exe C:\evidence\mem.raw
Get-FileHash C:\evidence\mem.raw -Algorithm SHA256 | Tee-Object C:\evidence\mem.raw.sha256
Get-Item C:\evidence\mem.raw | Select-Object Length
Get-CimInstance Win32_OperatingSystem | Select-Object Caption, LastBootUpTime # 记录系统与开机时间输出逐列读法
| 检查项 | 含义 | 正常/异常 |
|---|---|---|
| 镜像大小 | 与物理内存的比值 | 明显偏小说明采集中断或受权限限制 |
| sha256 摘要 | 完整性依据 | 采集后立即生成，移交前再次校验 |
| LastBootUpTime | 系统启动时间 | 内存内容对应的就是这个时间窗口 |
| 输出路径 | 镜像存储位置 | 应位于外接存储而非系统盘 |
先确认目标盘剩余空间：内存镜像很大，写系统盘会挤占空间并覆盖潜在数据；采集前避免重启、休眠或让其他人登录。
格式选择要顾及后续工具链：raw 兼容性最好，专用格式通常需要对应驱动与配套分析工具，现场应确认环境是否具备这些条件。
采集顺序中的位置
- 先记录系统时间与当前运行状态
- 采集内存与网络连接等高易失性证据
- 再做磁盘镜像与文件层证据收集
- 采集完成后立即哈希并登记证据清单
采集前后的现场纪律
- 记录采集时间点与操作人
- 不要在采集过程中运行重量级扫描
- 镜像写入外接介质并保留第二份副本
- 原件只读保存，分析在副本上进行