用途：面向事件响应与恶意软件分析的内存取证，覆盖内存获取、进程分析、网络与注册表取证、注入检测、字符串与 YARA 扫描等环节。
主要能力与使用方式：内存获取工具包括 Windows 的 WinPmem（winpmem_mini_x64.exe memory.raw）、DumpIt、Belkasoft RAM Capturer、Magnet RAM Capture，Linux 的 LiME（sudo insmod lime.ko "path=/tmp/memory.lime format=lime"）与 /dev/mem、/proc/kcore，macOS 的 osxpmem，以及 VMware、VirtualBox、QEMU 等虚拟机内存导出。分析使用 Volatility 3（pip install volatility3，基本用法 vol -f memory.raw <plugin>）。插件覆盖进程（windows.pslist、pstree、psscan、memmap、envars、cmdline）、网络（netscan、netstat）、DLL 与模块（dlllist、ldrmodules、modules）、注入检测（malfind、vadinfo、vadyarascan）、注册表（registry.hivelist、printkey、hivescan）、文件系统（filescan、dumpfiles、mftscan）、Linux 与 macOS 系列插件，以及 hashdump、lsadump、cachedump 等凭据提取插件。还给出恶意软件与事件响应分析流程、EPROCESS/PEB/VAD 结构说明、进程注入与 rootkit 检测模式、YARA 内存规则示例与 strings、FLOSS 字符串分析，以及获取与分析的最佳实践。
适用场景与限制：适合内存取证、恶意软件排查、入侵痕迹与持久化分析。需匹配正确的符号表，内存易失需尽快分析并校验转储完整性；部分数据可能已加密，符号与权限问题可能影响结果。