community

社区 由社区开发和维护的 Volatility 插件。请参阅每位作者子目录中的 README 文件，以获取其各自 GitHub 个人资料页面的链接，你可以在其中找到插件的使用说明、依赖项、许可证信息以及未来更新。 用法 1. Git clone Volatility 仓库或下载发行版 2. Git clone 此仓库到 $PLUGINSPATH 3. 运行 Volatility 时向其传递 --plugins=$PLUGINSPATH 选项（参见指定额外的插件目录） 注意：如果传入 $PLUGINSPATH...

SwishDbgExt

SwishDbgExt =========== SwishDbgExtは、Microsoft WinDbgのデバッグ拡張機能であり、利用可能なコマンドセットを拡張するだけでなく、既存のコマンドの修正と改善も行います。 この拡張機能はMatt Suiche（@msuiche）によって開発されました。サポートについては [email protected] までご連絡いただくか、機能リクエスト、コントリビューションの申し出、バグ報告をお願いします。...

aether

Aether 版本：0.9（稳定版） Aether 是一款 Windows 内存取证和威胁狩猎工具，可扫描活动进程内存中的恶意模式、检测注入技术、植入签名及反射加载的 .NET 程序集。它采用多层置信度模型，大幅降低误报率，并主动搜寻恶意行为。Aether 在检测进程镂空（Hollowing）、APC、线程劫持等技术方面具有良好的能力。安全分析师可使用它进行扫描、狩猎，并快照可疑区域以进行离线分析。 文档：https://0xsp.com/docs/aether-getting-started/ 研究文章：...

MemProcFS

MemProcFS: MemProcFS 是一种简单便捷的方式，可将物理内存以虚拟文件系统的形式呈现为文件。 无需复杂的命令行参数，即可轻松进行点击式内存分析！通过挂载的虚拟文件系统中的文件，或通过功能丰富的应用程序库，访问内存内容和工件，并将其集成到您自己的项目中！ 分析内存转储文件、通过 DumpIt 或 WinPMEM 获取的实时内存 、来自虚拟机或 PCILeech FPGA 硬件设备的读写模式实时内存 ！ 甚至可以通过安全连接连接到远程 LeechAgent 内存采集代理——从而支持远程实时内存事件响应——即使在更高延迟、低带宽的连接上也能实现！深入了解 MemProcFS...

columbo

Columbo Columbo は、侵害されたデータセット内の特定パターンを簡略化・識別するためのコンピュータフォレンジック解析ツールです。データを小さなセクションに分割し、パターン認識と機械学習モデルを使用して、侵害されたWindowsプラットフォームにおける攻撃者の行動とその可能性のある位置を、提案形式で特定します。現在、Columbo は Windows プラットフォーム上で動作します。 依存関係と高レベルアーキテクチャ Columbo はデータ抽出に volatility 3、autorunsc.exe、sigcheck.exe...

volatility3

Volatility 3：易失性内存提取框架 Volatility 是全球使用最广泛的框架，用于从易失性内存（RAM）样本中提取数字痕迹。提取技术完全独立于被调查系统，但能洞察系统的运行时状态。该框架旨在向人们介绍从易失性内存样本中提取数字痕迹的技术和复杂性，并为这一令人兴奋的研究领域的进一步工作提供平台。 2019年，Volatility Foundation发布了框架的完全重写版本——Volatility 3。该项目旨在解决原代码库在过去10年中暴露出的诸多技术及性能挑战。重写的另一个好处是，Volatility...

CyberPipe

CyberPipe v5.3 旧称 CSIRT-Collect DFIR 調査のためのメモリおよびディスクフォレンジックを収集する使いやすい PowerShell スクリプト。 機能: 🐏 MAGNET DumpIt（x86、x64、ARM64 対応）またはレガシーシステム向けの MAGNET RAM Capture を使用してメモリイメージをキャプチャします。 💻 選択可能なプロファイルまたはカスタムオプションを使用して、MAGNET Response CLI でトリアージデータを収集します。 🔐 MAGNET Encrypted Disk Detector...

LiMEaide

LiMEaide v2.0 作者：Daryl Bennett - kd8bnyatgmaildotcom 关于 LiMEaide 是一款 Python 应用程序，旨在远程或本地转储 Linux 客户端的 RAM，并创建 Volatility 配置文件，以便在本地主机上后续分析。希望这能简化远程环境下的 Linux 数字取证。使用 LiMEaide 只需提供远程 Linux 客户端的 IP 地址，然后就可以悠闲地享用你最喜欢的咖啡因饮料。 LiMEaide 有三种主要操作模式： 1. 远程模式 - 通过 SSH 建立连接，并通过 SFTP 传输数据。 2. Socket 模式 - 通过 S...

Vol3xp

Vol3xp、Volatility 3 エクスプローラ プラグイン WinObj - Windowsカーネルオブジェクトエクスプローラ、https://github.com/kslgroup/WinObj の改良版 volatility 3用、winobj.py WinObj（WinObj sysinternals と非常に類似）は、Struct Analyzer と VolExp の WinObjGui もサポートします。 RAMMap - 物理アドレスマッピング pfn.py RAMMap（Rammap SysInternals...

MalConfScan

概念 MalConfScan 是一个 Volatility 插件，用于提取已知恶意软件的配置数据。Volatility 是一个用于事件响应和恶意软件分析的开源内存取证框架。该工具在内存映像中搜索恶意软件并转储配置数据。此外，该工具还具有列出恶意代码引用的字符串的功能。 支持的恶意软件家族 MalConfScan 可以转储以下恶意软件配置数据、解码后的字符串或 DGA 域名： Ursnif Emotet Smoke Loader PoisonIvy CobaltStrike NetWire PlugX RedLeaves / Himawari / Lavender / Armadill /...

python-haystack

python-haystack 内存取证 |travis| |coverage| |landscape| |pypi| |docs| 快速开始 docs/ 文件夹中的 快速使用指南 。 docs/ 文件夹中的 Haystack-reverse CLI 。 更多文档 介绍 python-haystack 是一个堆分析框架，专注于搜索和逆向已分配内存中的 C 结构体。 第一个功能/API 是 SEARCH 函数。 它可以在进程内存转储或活动进程内存中搜索已知的记录类型。 第二个功能/API 是扩展 python-haystack-reverse 中的 REVERSE 函数。...

volatility-gui

Volatility GUI これは、PyQT5で書かれたVolatilityフォレンジックツールのGUIです。 前提条件: 1- インストール済みのVolatility。 2- PyQT5のインストール。 sudo apt-get install python3-pyqt5 3- Volatility GUIのダウンロード。 設定 ダウンロードしたVolatility GUIから、config.pyファイルを編集して、1- pythonbinにPython 2のバイナリ名またはPython 2の絶対パスを指定します。 2-...

linux_screenshot_xwindows

简介 本 Volatility 插件的目标是从内存转储中提取所有打开的 X 窗口的屏幕截图。 先前工作 由 Adam Bridge（https://github.com/bridgeythegeek/linuxxwindows）实现的 Volatility 插件 linuxxwindows 提取了注册到 X 的窗口对象的各种元数据，这些元数据通过遍历 X 服务器的数据结构进行识别。例如，对于每个窗口，它会列出窗口坐标、宽度和高度尺寸以及窗口标识符。Adam 的 README 对这些细节有很好的讨论，如果您感兴趣，建议阅读！ 作为参考，这里有一张图展示了 X 的核心结构及其相互依赖关系： ...

Memory-analysis

内存分析 包含用于在内存中执行恶意软件和取证分析的工具。 插件： Dyrescan.py - 解析内存中的 Dyreconfig。 Rat9002.py - 解析内存中的 9002 rat 配置。 plugx.py - 解析内存中的 plugx 配置（已修改，同时解析配置大小：0x170c）。 ghostrat.py - 解析内存中的 ghostrat 配置。 分析脚本： volanalysis.sh - 使用 volatility 自动化分析的脚本 commonsearchstrings.txt - 由 volanalysis.sh...

vol-rs

vol-rs Un port del framework de análisis forense de memoria Volatility 3 de Python a Rust. Lee las mismas imágenes de memoria, ejecuta los mismos plugins con las mismas opciones e imprime la misma salida, byte por byte, bastante más rápido. Licencia Este proyecto es un port de Volatility 3 y por ...

MemProcFS-Analyzer

MemProcFS-Analyzer MemProcFS-Analyzer.ps1 是一个 PowerShell 脚本，用于简化 MemProcFS 的使用并优化您的内存分析工作流程。 MemProcFS - 由 Ulf Frisk 开发的内存进程文件系统 https://github.com/ufrisk/MemProcFS 功能特性： 快速简便的内存分析！ 您可以将内存快照（原始物理内存转储或 Microsoft 崩溃转储）像磁盘映像一样挂载，并在 Windows 上处理内存压缩功能 自动安装...

SuperMem

概述 一个基于分类类型处理 Windows 内存镜像的 Python 脚本。 依赖项 Python3 Bulk Extractor Volatility2 及社区插件 Volatility3 Plaso Yara 使用方法 快速分类 python3 winSuperMem.py -f memdump.mem -o output/ -tt 1 完整分类 python3 winSuperMem.py -f memdump.mem -o output/ -tt 2 综合分类 python3 winSuperMem.py -f memdump.mem -o output/ -tt 3 安装 1...

RedLine-Stealer-C2-Defender-Bypass-Payload-Analysis

1. C2 连接 – IP 198.46.86.63 网络分析显示，RedLine Stealer 会与远程 IP 地址 198.46.86.63 建立连接。该 IP 很可能是该恶意软件的命令与控制（C2）服务器，用于数据外泄和命令下发。 关键观察： IP 地址： 198.46.86.63 协议： 可能为 HTTP/HTTPS（基于 RedLine 的典型行为）。 用途： 与 C2 进行通信，传输窃取的数据（凭据、Cookie、加密钱包）。 为何重要： C2 基础设施： 该 IP 可用于追踪恶意软件的来源。 检测： 网络安全工具可封锁此 IP。 数据外泄： 所有窃取的数据均发送至此服务器...

volatility

This project is archived. See Volatility 3 for modern investigations: https://github.com/volatilityfoundation/volatility3 ============================================================================ Volatility Framework - 揮発性メモリ抽出ユーティリティフレームワーク Volatility Framework は、GNU General Public License のも...

pe_tree

PE Tree PE Treeは、pefileとPyQt5を使用してPortable Executable PE ファイルをツリービューで表示するためのPythonモジュールです。 また、IDA Pro、Ghidra、Volatility、Rekall、minidumpと組み合わせて、メモリ内のPEファイルの表示、ダンプ、およびインポートテーブルの再構築を行うこともできます。 目次 1. 機能 2. アプリケーション 要件 機能 インストール Windows Mac/Linux 開発者向け 使用方法 ダークモード 3. IDAPython 要件 機能 インストール setuptoolsを...