用途：在事件响应中保全并分析易失性内存证据，识别进程注入、无文件恶意软件、网络通信与凭据窃取，不适用于磁盘镜像或文件系统取证。
主要能力：Volatility 3 可自动识别操作系统与符号表，支持 windows.info、windows.pslist、windows.pstree、windows.psscan、windows.netscan、windows.malfind、windows.dlllist、windows.memmap、windows.yarascan、windows.registry.hivelist、windows.hashdump、windows.cmdline、windows.handles、windows.clipboard、windows.dumpfiles 等命令，用于进程树对比、隐藏进程检测、注入代码转储、YARA 扫描与凭据提取。
必要用法：先采集内存镜像，例如 winpmem_mini_x64.exe output.raw、MagnetRAMCapture.exe、DumpIt.exe 或 ./avml output.lime；随后执行 vol -f memory.raw windows.info 等命令分析。需 Python 3.8+、足够存储与符号表，并建立证据链文档。
限制：不分析磁盘镜像；需先获取内存转储；分析结果依赖符号表与基线；具体流程与命令以资料为准，其他功能暂未提供。