memory-forensics 是一项全面的内存取证技能，用于分析 RAM 转储和易失性内存痕迹，能够检测恶意软件、rootkit、进程注入、凭据窃取以及其他不在磁盘上留下痕迹的内存驻留威胁。
该技能以 Python 库方式提供，在资料中通过 from memory_forensics import ... 的形式调用，包含 MemoryAnalyzer、ProcessScanner、MalwareDetector、ModuleScanner、NetworkScanner、CredentialExtractor、RegistryAnalyzer、IOCExtractor、RootkitDetector、MemoryTimeline、MemoryAcquisition 等模块。
主要能力包括：内存镜像获取，指导使用 WinPMEM、LIME、DumpIt、FTK Imager 等工具完成转储；进程分析，枚举运行进程、检测隐藏/注入进程并分析进程树；DLL/模块分析，识别已加载模块、检测 DLL 注入与进程镂空；网络连接分析，提取活动 TCP/UDP 连接、监听端口与套接字信息；注册表配置单元提取，从内存中提取配置单元用于离线分析；凭据提取，定位并提取凭据、密码哈希与 Kerberos 票据；恶意软件检测，检测代码注入、API 钩子、SSDT 钩子、IDT 修改；字符串提取，从内存区域提取字符串、URL、IP 及其他 IOC；时间线生成，创建基于内存的进程执行与系统事件时间线；rootkit 检测，识别内核级 rootkit、隐藏驱动与 DKOM 技术。
使用方式以 Python 编程为主：初始化分析器并加载内存镜像，识别系统 profile，然后按任务调用对应扫描器与方法。资料中给出的十个典型任务包括内存镜像获取、进程分析、DLL 与模块分析、网络连接分析、凭据提取、恶意软件检测、内存注册表分析、字符串与 IOC 提取、rootkit 检测和内存时间线分析。每个任务都提供输入、处理流程、输出以及代码示例。
配置方面支持环境变量 VOLATILITY_PATH、YARA_RULES_PATH、SYMBOL_PATH、THREAT_INTEL_FEED，以及 profile、output_format、verbose、use_yara、parallel 等选项。示例场景包括针对疑似勒索软件感染的应急响应内存分析。
适用场景：事件响应、恶意软件调查、rootkit 排查、凭据泄露取证、进程注入调查等。限制：资料未提供具体支持的操作系统版本范围、内存镜像格式兼容性、性能与资源要求等细节，暂未提供。