用途：获取 Linux 内存镜像并用 Volatility 3 分析其中的取证痕迹。
主要能力：LiME（Linux Memory Extractor）以内核模块方式采集内存，支持 format=lime 或 format=raw 输出格式；Volatility 3 可提取进程列表、Bash 命令历史、网络连接、加载的内核模块等信息，用于排查 rootkit 等。
使用方式：
- 采集内存：insmod lime-$(uname -r).ko "path=/evidence/memory.lime format=lime"
- 命令行分析： vol3 -f /evidence/memory.lime linux.pslist vol3 -f /evidence/memory.lime linux.bash vol3 -f /evidence/memory.lime linux.sockstat 常用插件还有 linux.psscan、linux.malfind、linux.lsmod。
- 编程调用：可导入 volatility3，使用 contexts.Context() 与 automagic.available(context) 构建上下文后调用 linux 插件（pslist、bash、sockstat）。
分析步骤要点：采集内存；用 linux.pslist 列进程并与 linux.psscan 对比；用 linux.bash 提取命令历史；用 linux.sockstat 列网络连接；用 linux.lsmod 检查内核模块以发现 rootkit。
适用场景：Linux 主机应急响应、入侵排查与内存取证。
限制：资料未提供环境依赖、版本要求、权限细节及分析结果解读说明，暂未提供。