内存采集工具与顺序（WinPmem / AVML）

内存内容易失，按易失性顺序先采内存再考虑磁盘；Windows 常用 WinPmem，Linux 可用 AVML，采集后立即校验并记录。

Windows	WinPmem 生成 raw 镜像
Linux	AVML 生成 lime 格式采集文件

两侧采集

# Windows（管理员）
# winpmem_mini_x64_rc2.exe C:\evidence\mem.raw
# Linux
# sudo avml /evidence/memory.lime
sha256sum /evidence/memory.lime

采集工具会加载驱动或使用 /dev/mem 类接口，先在非关键机器验证兼容性与副作用。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌