用途：面向内存转储（memory dump）的取证分析手册，使用 Volatility 2 与 Volatility 3 完成恶意软件分析、凭据提取、进程调查与代码注入检测。
主要能力：内存获取（Linux 的 LiME、/proc/kcore、AVML；Windows 的 WinPmem、FTK Imager、DumpIt、MagnetRAM；虚拟机 VMware/VirtualBox/KVM/Hyper-V 转储）；系统识别（imageinfo、kdbgscan、windows.info、banners.Banners）；进程分析（pslist、psscan、pstree，对比可发现 DKOM 隐藏进程）；网络连接（netscan、netstat、connections、connscan）；DLL/模块分析（dlllist、ldrmodules）；代码注入检测（malfind，识别 RWX 无文件映射内存）；凭据提取（hashdump、lsadump、cachedump、mimikatz 插件）；文件提取（filescan、dumpfiles）；注册表分析（hivelist、printkey、userassist）；命令历史（cmdscan、consoles、cmdline）；时间线生成（timeliner + mactime）。另含 Linux 内存分析（linux_pslist、linux_bash、linux_check_afinfo、linux_check_syscall、linux.tty_check）与 Vol2 Linux profile 构建方法。
使用方式：安装 pip2 install volatility 或 pip3 install volatility3；Vol2 需 --profile 指定 profile，Vol3 自动检测符号表。按手册步骤依次执行系统识别、进程、网络、DLL、注入、凭据、文件、注册表、命令历史与时间线分析。
适用场景：恶意软件调查、事件响应时间线、凭据恢复、CTF/flag 查找、Linux rootkit 检测。
限制：需先获取内存转储；Vol2 需匹配 profile，Linux 分析需构建 profile；部分插件（如 mimikatz）为额外插件；资料未提供具体收费、平台支持范围与效果保证。