用途：用于内存取证任务与工作流，提供内存镜像获取、分析与取证工件提取的指导、最佳实践和检查清单；不适用于与内存取证无关的任务。
主要能力：
- 内存获取：Windows 可用 winpmem_mini_x64.exe memory.raw、DumpIt.exe 等；Linux 可用 sudo insmod lime.ko "path=/tmp/memory.lime format=lime"、sudo dd if=/dev/mem of=memory.raw bs=1M、sudo cp /proc/kcore memory.elf；macOS 可用 sudo ./osxpmem -o memory.raw；虚拟机可用 cp vm.vmem memory.raw、vboxmanage debugvm "VMName" dumpvmcore --filename memory.elf、virsh dump <domain> memory.raw --memory-only。
- Volatility 3 分析：安装 pip install volatility3，基本用法 vol -f memory.raw <plugin>，可加 -s /path/to/symbols。插件覆盖进程（pslist、pstree、psscan、memmap、envars、cmdline）、网络（netscan、netstat）、DLL 与模块（dlllist、ldrmodules、modules、moddump）、注入检测（malfind、vadinfo、vadyarascan）、注册表（registry.hivelist、printkey、hivescan）、文件系统（filescan、dumpfiles、mftscan），以及 Linux、macOS 对应插件。
- 工作流：恶意软件分析流程（进程调查、网络连接、注入检测、可疑进程分析、转储、strings、YARA 扫描）与事件响应流程（时间线、用户活动、持久化、服务、计划任务、最近文件）。
- 检测与提取：进程注入指标、rootkit 检测（pslist 与 psscan 对比、callbacks、ssdt、driverscan）、凭据提取（hashdump、lsadump、cachedump）、YARA 规则编写与内存扫描、strings 与 FLOSS 字符串分析。
使用方式：按上述命令在授权环境中获取并分析内存镜像，结合符号表运行 Volatility 插件，交叉验证结果。
限制：内存易失需及时分析；需验证转储完整性；符号文件须匹配系统版本；可能存在采集漂移与内存加密；输出不能替代环境特定验证、测试或专家评审；缺少必要输入、权限、安全边界或成功标准时应停止并请求澄清。