用途：面向事件响应与恶意软件分析的内存取证，仅在获得授权的防御性分析、取证调查、CTF 与研究场景中使用，禁止用于未授权访问、监控或隐私侵犯。
主要能力： 获取内存镜像：Windows 可用 winpmem_mini_x64.exe memory.raw、DumpIt.exe；Linux 用 sudo insmod lime.ko "path=/tmp/memory.lime format=lime" 或 sudo dd if=/dev/mem of=memory.raw bs=1M；macOS 用 sudo ./osxpmem -o memory.raw；虚拟机可用 vboxmanage debugvm "VMName" dumpvmcore --filename memory.elf 或 virsh dump <domain> memory.raw --memory-only。
分析：安装 pip install volatility3，基本用法 vol -f memory.raw <plugin>。可列举进程、进程树、隐藏进程检测（pslist/psscan）、网络连接（netscan/netstat）、DLL 与内核模块、malfind 注入检测、VAD 分析、注册表 hive、文件对象与 MFT、命令行与时间线；Linux 与 macOS 有对应插件如 linux.pslist、linux.bash、mac.pslist 等。还支持 YARA 规则扫描与 strings、FLOSS 字符串提取。
使用方式：按流程先做进程与网络概览，再用 malfind、dlllist、handles 深入可疑进程，导出内存区域与可执行文件，最后用 YARA 或字符串分析佐证。
限制与要求：内存易失，必须及时分析；获取后应立即哈希（sha256sum memory.raw > memory.raw.sha256）；不要在被取证的活动系统上分析，应使用取证副本；运行插件前先用 vol -f memory.raw windows.info 确认 OS 版本与符号表；单一插件结果不可单独采信，需交叉验证。符号表需自行下载。具体收费、平台支持与性能数据暂未提供。