用途：对已捕获的被入侵系统 RAM 内存转储进行取证分析，用于检测仅存在于内存的文件型恶意软件、进程注入、DLL 注入、进程镂空与 rootkit 活动，并可从进程内存中提取加密密钥、口令或解密配置。不适用于磁盘镜像分析，磁盘取证应使用 Autopsy、FTK 或 Sleuth Kit。
主要能力：识别转储的操作系统与版本；枚举运行进程、进程树及隐藏/未链接进程；检测代码注入与进程镂空；分析活动与已关闭网络连接；提取进程内存、命令行历史、环境变量、注册表 Run 键、缓存凭据、剪贴板内容与文件；使用 YARA 规则扫描内存；生成时间线与导出结果。
必要用法：需安装 Volatility 3（pip install volatility3）并准备目标操作系统的符号表；内存转储可用 WinPmem、LiME 或 DumpIt 获取；需知道源操作系统版本以选择正确 profile/符号；准备 YARA 规则与 strings 工具。典型命令包括 vol3 -f memory.dmp windows.info、windows.pslist、windows.pstree、windows.psscan、windows.malfind、windows.dlllist、windows.hollowfind、windows.driverscan、windows.netscan、windows.memmap、windows.cmdline、windows.hashdump、windows.lsadump、yarascan.YaraScan 与 timeliner.Timeliner；Volatility 2 旧版可用 vol2 -f memory.dmp imageinfo、kdbgscan。
适用场景：EDR 告警后磁盘痕迹被清理时的内存分析、识别持久化机制与横向移动风险、提取 C2 地址等 IOC。
限制：符号表版本不匹配会导致插件失败或结果错误；需对比 pslist 与 psscan 以发现 rootkit 隐藏进程；内存转储通常 4–64 GB，需足够磁盘空间；仅凭进程名判断易漏报被注入的合法进程；分析结论前应提取完整进程内存。部分插件与替代工具（Rekall、MemProcFS）细节以官方资料为准。