用途：对内存镜像（RAM dump）做取证分析，获取仅存在于内存中的证据，如注入代码、解密载荷、凭据与已退出进程的网络连接。适用前提是已取得内存转储（raw、LiME、EWF、崩溃转储或虚拟机快照）；磁盘镜像、已知恶意样本磁盘分析、Windows 主机现场取证等应使用其他技能。
采集：Linux 可用 LiME（需内核模块）或 AVML（用户态），命令如 sudo insmod lime-$(uname -r).ko "path=/evidence/mem.lime format=lime"；Windows 可用 WinPMem 或 DumpIt，如 winpmem_mini_x64.exe mem.raw；VMware、Hyper-V、KVM/QEMU、VirtualBox 快照无需代理；并注意采集后立即计算 SHA-256、记录来源主机、UTC 时间、工具版本与分析员。
主要能力与用法：用 vol -f mem.raw windows.info 做定向，用 windows.pslist、psscan、pstree 对比隐藏进程，用 malfind 检测 RWX 区域与无文件支撑的 PE 头，用 hashdump、lsadump、cachedump 提取凭据，用 netscan、linux.sockstat 分析连接，用 windows.cmdline、windows.consoles、linux.bash 恢复命令历史，用 yarascan.YaraScan、bulk_extractor 做字符串与结构化数据扫描，用 ssdt、driverscan、modscan、callbacks 排查 rootkit。
限制：Linux 需匹配内核版本生成 ISF 符号文件，否则失败或输出错误；MAC 全内存采集在现代系统受限；Volatility 3 无内置 Windows DNS 缓存插件；malfind 结果需人工验证，JIT 等合法进程也会产生 RWX 区域；字符串输出噪声大，应优先用定向插件。具体收费、平台与效果资料未提供。