2023蓝帽杯初赛内存取证-8

也是用到pslist模块，加上grep过滤”chrome“即可：

vol.py --plugin=/opt/volatility/plugins -f memdump.mem --profile Win7SP1x64 pslist | grep "chrome"

第一个是PID，第二个是PPID，第三个是线程数，第四个是句柄数，第五个是优先级还是虚拟内存？

答案：2456