用途：该技能用于内存取证，通过 Volatility3 插件分析 RAM 转储，发现磁盘取证难以揭示的恶意进程、代码注入、rootkit、凭据窃取和网络连接。Volatility3（v2.26.0+，2025 年 5 月功能对齐版本）是内存取证标准框架，已取代废弃的 Volatility2。
主要能力：核心插件包括 windows.malfind（检测指示注入的 RWX 内存区域）、windows.psscan（发现隐藏进程）、windows.dlllist（枚举已加载模块）、windows.netscan（活动网络连接）、windows.handles（打开的文件/注册表句柄）。2024 年插件竞赛引入 ETW Scan，用于从内存提取 Windows 事件跟踪数据。
使用方式：需 Python 3.9+ 并安装 volatility3 框架、内存转储文件（.raw、.dmp、.vmem、.lime）、Windows 符号表（ISF 文件，自动下载）、理解 Windows 进程内存架构，以及用于内存模式扫描的 YARA 集成。典型工作流为：用 malfind 检测进程注入，对比 pslist 与 psscan 找出隐藏进程，用 netscan 提取网络连接，用 dlllist 列出进程加载的 DLL，用 yarascan 配合 YARA 规则扫描内存。示例命令：vol -f <dump> -r json windows.malfind。
适用场景：涉及内存取证的安全评估、相关安全事件的事件响应流程、计划性安全测试或审计活动，以及通过动手测试验证安全控制。
限制：资料未提供具体收费、价格、平台支持范围或效果保证；实际结果取决于转储质量、符号表匹配与规则有效性。验证标准包括内存转储成功解析、malfind 检出 RWX 注入区域、pslist/psscan 对比发现隐藏进程、网络连接暴露 C2 端点、YARA 匹配已知恶意软件签名、从 lsass 进程内存提取凭据痕迹。