一、Volatility
Volatility是一款开源内存取证框架,能够对导出的内存镜像进行分析,通过获取内核数据结构,使用插件获取内存的详细情况以及系统的运行状态。
Volatility是一款非常强大的内存取证工具,它是由来自全世界的数百位知名安全专家合作开发的一套工具, 可以用于windows,linux,mac osx,android等系统内存取证。Volatility是一款开源内存取证框架,能够对导出的内存镜像进行分析,通过获取内核数据结构,使用插件获取内存的详细情况以及系统的运行状态。
原文链接:https://blog.csdn.net/qq_38603541/article/details/129244112
Volatility官网:Release Downloads | Volatility Foundation
使用github上的volatility项目进行源代码安装。步骤如下:
1、克隆volatility项目源码到本地
2、安装volatility依赖
(1)distorm3
git clone https://github.com/vext01/distorm3
切换到distorm3目录下,并执行安装命令
(2)pycryptodome
pip2 install pycryptodome
# 若安装失败,尝试切换国内源后重试
pip2 install pycryptodome -i https://pypi.tuna.tsinghua.edu.cn/simple
3、安装Volatility
切换到volatility目录下,并执行安装命令
运行vol.py即可
测试:
任意目录下执行:vol.py --help(查看帮助),若能正常显示相关信息,不报错,即为安装成功。