Agent Skills
返回列表
🔒

Volatility 3 内存镜像分析

IT 运维与安全 更新于 2026.08.29

将以下提示词粘贴到你的 AI 对话框中：

请根据 https://skillhub.cn/install/skillhub.md，安装 @user_3c6cb52e/analyze-memory-images-for-processes-modules-and-malware-indicators-with-volatility-3。

技能介绍

问题背景

内存取证的典型场景是：一台主机疑似被入侵，磁盘上的日志可能已被清理或篡改，但进程句柄、模块列表、连接信息等痕迹仍留在 RAM 里。重启机器之后这些证据会永久消失，因此需要在系统仍处于运行状态时捕获镜像，并在升级、重装或证据移交之前完成初步分析。本技能用于在这一阶段对 Volatility 3 解析出的进程、模块与句柄信息做系统性梳理，定位可疑内存行为。

技能如何工作

技能基于 Volatility 3 CLI，围绕以下几条线索展开：

  • 进程枚举：列出镜像中的进程树、PID 与命令行，识别伪装成系统进程名的可疑项
  • 模块分析：遍历各进程加载的模块，发现没有对应磁盘文件的注入模块
  • 句柄与内存行为：检查句柄表与内存区域，寻找隐藏、受保护或异常的映射
  • 恶意指标对照：将上述结果与常见恶意软件指标比对，形成可交接的判断

建议按「先枚举、后聚焦、再固化证据」的顺序执行：先跑通基础插件确认镜像可以解析，再针对可疑进程深挖，最后导出结论与原始输出，方便后续移交。

适用边界与注意点

  • Volatility 3 要求 Python 3.8.0 或更高版本，需要在分析环境中确认版本
  • 首次使用新的符号文件会触发缓存更新，符号包体积大，更新可能耗时很久，要预留时间
  • 不同操作系统需要对应的符号包，缺少符号时插件可能拿不到结果
  • 该技能只负责分析环节，镜像捕获与网络侧取证需要另行准备
  • 上游文档见 volatility3.readthedocs.io，各命令的具体选项可用 vol -h 查看

使用场景

  • 主机疑似被入侵，需要在重启前分析内存镜像，定位可疑进程与注入模块
  • 事件响应中，要在证据移交前从 RAM 镜像导出句柄和连接记录作为分析结论
  • 系统升级或重装前，检查内存镜像的模块列表，确认有无磁盘文件对应的加载项
  • 怀疑进程被注入或模块被隐藏时，遍历内存区域寻找异常或受保护的映射

适合人员

  • 负责主机入侵排查的应急响应工程师，需要快速从内存镜像中确认可疑进程与模块
  • 处理恶意软件样本的安全分析师，需要在隔离环境中提取内存级指标作为证据
  • 负责取证移交的 IT 运维人员，需要在系统重启前固化内存分析结果
  • 做漏洞验证的安全研究员，需要核对内存中加载的模块是否被篡改