溯源思路与流程68 条

内存对象时间戳（Volatility 3）

内存镜像中的进程创建时间、网络连接时间与文件对象时间可以为时间线提供系统停止前时刻的状态，与磁盘痕迹互为补充。

插件	windows.info / pslist / netscan / cmdline
时间列	进程 CreateTime、连接创建时刻（视插件）

进程与连接

vol.py -f mem.raw windows.pslist | head -20
vol.py -f mem.raw windows.netscan | head -30

内存时间戳与磁盘时间粒度不同，取内存是为了补齐系统运行时段的活动。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌