用途：检测和分析堆喷射（heap spray）攻击。堆喷射通过用攻击者控制的数据（通常是 NOP 滑板加 shellcode）填充进程堆的大片区域，以提高代码执行漏洞利用的可靠性。本技能覆盖在内存转储中识别此类痕迹的流程。
主要能力：使用 Volatility3 的 malfind、vadinfo、memmap 插件检测堆喷射痕迹；识别可疑的连续内存分配；扫描 NOP 滑板模式（如 0x90 序列、0x0c0c0c0c 模式）；提取内嵌 shellcode 以供分析。
使用方式（步骤）：1. 用 windows.malfind 扫描存在可执行注入内存区域的进程；2. 用 windows.vadinfo 检查 VAD 树条目，寻找具有 RWX 权限的大块连续分配；3. 在可疑内存区域搜索 NOP 滑板特征；4. 转储可疑内存区域并通过字节模式分析识别 shellcode。预期输出为 JSON 报告，包含可疑进程、堆喷射指标、NOP 滑板位置、内存区域大小及提取的 shellcode 哈希。
适用场景：调查需要分析堆喷射利用的安全事件；构建该领域的检测规则或威胁狩猎查询；SOC 分析师需要结构化分析流程；验证相关攻击技术的安全监控覆盖。
前提与限制：需 Python 3.9+ 并安装 volatility3 框架；需内存转储文件（.raw、.vmem、.dmp 格式）；需理解虚拟内存布局与 VAD 树；需熟悉常见 shellcode 模式和 NOP 滑板编码。具体命令、参数与完整代码示例资料未提供。