用途：对整机内存转储（.raw/.mem/.core）做取证分析，覆盖进程、内核对象、网络连接与凭据线索；不用于实时调试、文件系统静态分析，也不负责取数（转储由 re-memdump 完成），只读转储、不运行样本。
主要能力：进程列表与池扫描（windows.pslist/psscan/pstree，psscan 可发现已终止或隐藏进程）；命令行、服务、会话补充（cmdline/svcscan/sessions）；网络连接（netscan/netstat）；注入与镂空检测（dlllist/malfind/hollowprocesses）；注册表派生凭据（windows.registry.hashdump/lsadump/cachedump，旧别名 windows.hashdump 等已弃用）；文件对象池扫描与提取（filescan/dumpfiles）；YARA 直扫（yarascan.YaraScan、windows.vadyarascan.VadYaraScan）；时间线（vol -r csv -f dump.raw timeliner）。
使用方式：pip install volatility3（命令为 vol，需 Python 3.8+）；验证 vol -h 与 vol -f dump.raw windows.info。按平台选前缀 windows./linux./mac.*。符号文件（ISF）：Windows 按 PDB GUID/age 自动从 Microsoft 符号服务器获取；Linux/macOS 需按 kernel banner 匹配，用社区预构建包或 dwarf2json/btf2json 自行构建；离线用 --offline 加预置符号目录。凭据与 YARA 插件需 pip install pycryptodome yara-python。
适用场景：事件响应、恶意样本内存残留分析、可追溯时间线取证。
限制：符号表不匹配会导致解析全错；dump 不完整（vsyscall/vdso 污染）造成偏差；malfind 存在误报；内存内函数补丁（ETW/AMSI）与睡眠混淆可能使常规插件无感；BitLocker FVEK 恢复需社区插件；本技能不破解哈希，离线破解交给 hashcat/john。部分细节资料未提供。