用途：对已捕获的受感染系统内存转储（RAM）做取证分析，发现恶意进程、注入代码、网络连接、加载驱动与内存凭据；适用于检测仅存在于内存的无文件恶意软件、进程注入/镂空、rootkit 活动以及提取加密密钥或配置。不用于磁盘镜像分析，磁盘取证应改用 Autopsy、FTK 或 Sleuth Kit。
主要能力：自动识别操作系统版本；枚举进程与进程树并对比隐藏进程；用 malfind 检测注入代码、hollowfind 检测镂空进程；分析网络连接（netscan/netstat）；提取命令行、环境变量、注册表 Run 键、凭据（hashdump、cachedump、lsadump）、剪贴板与文件；用 YARA 规则扫描内存；生成时间线并导出 CSV。
使用方式（示例，依资料原文）： vol3 -f memory.dmp windows.pslist vol3 -f memory.dmp windows.pstree vol3 -f memory.dmp windows.malfind --dump --pid 2184 vol3 -f memory.dmp windows.netscan vol3 -f memory.dmp yarascan.YaraScan --yara-file malware_rules.yar
前提：安装 Volatility 3（pip install volatility3）并准备目标 OS 的符号表；已用 WinPmem、LiME 或 DumpIt 获取内存转储；知晓源 OS 版本；预留 4–64 GB 磁盘空间；准备 YARA 规则与 strings 工具。
关键限制与常见问题：符号表版本不匹配会导致插件失败或结果错误；应对比 pslist 与 psscan 以免遗漏被 rootkit 隐藏的进程；不要仅凭进程名判断，需结合 malfind 结果；分析结束前应提取完整进程内存以获取更多 IOC。
配套工具：Volatility 3、WinPmem、LiME、Rekall、MemProcFS。