技能介绍

解决什么内存取证问题

内存镜像分析常卡在几个具体问题：现场镜像缺少现场记录时，难以判断该从哪一步开始；Volatility 2 与 3 的命令、profile、插件命名差异容易让分析流程中断；发现隐藏进程、反射式 DLL 注入、shellcode、凭据、注册表和文件时，缺少统一判断口径。该技能把取证流程整理成可复核的 playbook，适合在已获取 Linux、Windows 或虚拟机内存镜像后做系统性排查。

技能如何组织分析

它先要求确定系统类型，再进入流程化分析：

进程与隐藏检测：对比 pslist 与 psscan，识别可能的 DKOM 隐藏；通过父进程关系发现异常，例如 cmd.exe 拉起 svchost.exe 或伪 svchost。
网络与 DLL：用 netscan 等结果关联 PID，判断可疑外联；检查 dlllist 与 ldrmodules，若 DLL 在三个列表中均为 False，提示反射式加载或隐藏。
注入与恶意痕迹：用 malfind 找 PAGE_EXECUTE_READWRITE 且无磁盘文件映射的区域，识别 shellcode / PE 注入迹象。
凭据、文件、注册表与历史：继续抽取哈希、文件、注册表项和命令历史，最后生成时间线。
Vol 2 / Vol 3 差异：imageinfo、hashdump 等 Vol 2 写法与 windows.info、windows.hashdump 等 Vol 3 命名通过对照表衔接；需要时还可加载 VOLATILITY_CHEATSHEET.md。

边界与注意点

它不替代镜像获取和链式保管；分析前需确认镜像格式、profile / symbol table 可用性。Vol 2 与 Vol 3 行为不同，命令不应机械混用；Linux 分析可能需要自行构建 profile，rootkit 可能干扰系统调用、SSDT/IDT 或内核对象判断。结果是线索，应结合 pcap、隐写和权限提升材料交叉验证，避免把单一插件命中直接当成结论。