用途：获取和分析内存转储中的证据，用于事件响应、入侵调查与恶意软件分析。
主要能力：内存获取（Windows 如 winpmem_mini_x64.exe memory.raw、DumpIt.exe；Linux 如 sudo insmod lime.ko "path=/tmp/memory.lime format=lime"；macOS 如 sudo ./osxpmem -o memory.raw；虚拟机 vmem、virsh dump 等）；用 Volatility 3 做进程树、网络扫描、malfind、句柄、DLL、时间线、命令行、注册表持久化、服务、计划任务等分析；提取凭据（hashdump、lsadump、cachedump）；YARA 扫描进程、内核与全内存；字符串与 FLOSS 提取混淆字符串；rootkit 检测（pslist 与 psscan 对比、SSDT、callbacks、驱动扫描）。
使用方式：资料以命令示例为主，如 vol -f memory.raw windows.pslist、windows.malfind、windows.netscan、windows.yarascan --yara-rules malware.yar；流程示例包括先做进程与网络概览，再检测注入、转储可疑进程，最后 strings 或 YARA 分析。文档提到原 Volatility 3 细节部分已移至 references/details.md，正文未提供具体命令。
适用场景：实时系统关机前采集易失内存、事件响应与漏洞调查、从内存恢复凭据、浏览器会话或打开文件、恶意代码与注入检测。
限制：内存易失需尽快分析；需验证转储大小与符号文件是否匹配；获取过程可能产生 smear；部分数据在内存中可能加密；凭据提取与 Mimikatz 式提取依赖特定插件或工具。具体收费、平台支持范围与效果暂未提供。