memory-forensic

memory-forensic 一款内存取证工具包，可自行对 Windows 内核进行画像——并逐进程与 Volatility 3 交叉校验。 mem4n6 读取所有常见转储格式（LiME、AVML、ELF core、Windows 崩溃转储、休眠文件、VMware 保存状态、kdump、raw…），并遍历进程、线程、模块、网络连接和注入内存——这一切来自一个静态二进制 ：编译一次，随处复制；无需 Python、无需运行时、无需预置符号目录 。在 Windows 上，它会自行构建 profile：在物理内存中定位 ntoskrnl，从 CodeView 记录中读取其 PDB...