| 识别 | vol.py -f mem.raw imageinfo |
|---|---|
| 基础三件套 | pslist / pstree / netscan |
| 命令行 | cmdline / consoles 还原输入 |
| 深挖 | malfind 查注入、psscan 对照隐藏进程 |
基础分析与注入排查
基础分析与注入排查
vol.py -f /evidence/mem.raw imageinfo
vol.py -f /evidence/mem.raw --profile=Win10x64 pstree
vol.py -f /evidence/mem.raw --profile=Win10x64 netscan | head -n 30
vol.py -f /evidence/mem.raw --profile=Win10x64 malfind | head -n 40Volatility 3 语法不同（如 vol -f mem.raw windows.pslist）；先确认版本再照抄命令。