用途：对受感染或可疑系统的 RAM 转储进行内存取证，识别运行中的恶意软件、注入代码、rootkit，提取凭据、密钥与网络连接，检测进程镂空、DLL 注入与隐藏进程。
主要能力：通过 banners、windows.info/linux.info 识别系统；pslist、pstree、psscan 枚举进程并交叉比对发现隐藏进程；dlllist、malfind、memmap 检测注入并转储进程内存；netscan、netstat 分析网络连接；registry.hivelist、printkey、svcscan 检查注册表与服务；hashdump、lsadump、cachedump、strings、cmdline、envars 提取凭据与敏感数据；yarascan 配合 YARA 规则扫描恶意特征；modules、modscan、ssdt 排查内核模块与钩子；dumpfiles 提取可疑可执行文件。
使用方式：需 Python 3.7+，安装 pip install volatility3，或从源码 git clone https://github.com/volatilityfoundation/volatility3.git 后 pip install -e .；下载对应系统 ISF 符号表放入 symbols 目录。内存采集可用 Windows 的 winpmem、DumpIt、FTK Imager，Linux 用 LiME。基本命令形如 vol -f memory.raw windows.pslist，按需替换插件与参数。
适用场景：活跃恶意软件调查、入侵后凭据窃取分析、rootkit 检测、勒索软件事件恢复。
限制：需匹配目标系统版本的符号表；分析输出需 2-3 倍转储大小的磁盘空间；内存为易失数据，须先采集；具体效果取决于转储完整性与规则质量。