用途：在获得授权的安全测试中，使用 Rekall 内存取证框架分析内存转储，识别进程注入、隐藏进程、可疑网络连接等失陷迹象，也可用于受控环境下的恶意样本与攻击痕迹分析、红队演练及基于攻击技术理解构建检测能力。
主要能力：加载内存镜像并自动检测 profile；通过 pslist 与 psscan 对比发现隐藏进程；用 malfind 检测进程 VAD 中的注入或镂空代码；用 netscan 检查网络连接；用 dlllist/modules 提取可疑 DLL 与驱动。
使用方式：需 Python 3.8+ 及依赖，具备安全运营概念与测试/实验环境，并取得测试授权。示例：from rekall import session；s = session.Session(filename="/path/to/memory.raw", autodetect=["rsds"], profile_path=["https://github.com/google/rekall-profiles/raw/master"])；随后调用 s.plugins.pslist()、s.plugins.malfind() 等插件。对比隐藏进程可分别取 pslist 与 psscan 的 PID 集合求差集。
适用场景：授权渗透测试、恶意样本分析、红队演练、检测规则验证。
限制：仅限合法授权环境使用；具体平台支持、版本兼容性与收费情况暂未提供。