| 工具 | winpmem_mini_x64.exe / winpmem.exe |
|---|---|
| 命令 | winpmem_mini_x64.exe mem.raw 或 winpmem.exe -o mem.raw |
| 体积 | 约等于物理内存大小 |
| 哈希 | Get-FileHash -Algorithm SHA256 |
采集并固定内存镜像
采集并固定内存镜像
.\winpmem_mini_x64.exe C:\evidence\mem.raw
Get-FileHash C:\evidence\mem.raw -Algorithm SHA256
Get-Item C:\evidence\mem.raw | Select-Object Length先确认目标盘剩余空间：内存镜像很大，优先写外接存储。