memory-forensics
使用 Volatility 分析記憶體傾印
記憶體取證對於偵測規避磁碟分析的高級威脅至關重要。此技能提供關於取得記憶體傾印和使用 Volatility 3 進行分析的全面指導，以擷取構件、偵測惡意軟體及調查事件。
下載技能 ZIP
在 Claude 中上傳
前往 設定 → 功能 → 技能 → 上傳技能
開啟並開始使用
測試它
正在使用「memory-forensics」。 How do I analyze a memory dump for network connections?
預期結果:
Use Volatility 3 windows.netscan to list network connections. For a memory dump file named 'memory.raw', run: vol -f memory.raw windows.netscan. This shows active connections including local/remote addresses, ports, and state. Use windows.netstat for connection state information.
正在使用「memory-forensics」。 What is the workflow for analyzing malware in memory?
預期結果:
Follow this workflow: (1) Run windows.pstree and windows.pslist for process overview, (2) Use windows.netscan for network artifacts, (3) Run windows.malfind to detect code injection, (4) Analyze suspicious processes with windows.dlllist, (5) Dump suspicious executables with pslist --pid <PID> --dump, (6) Extract strings and run YARA scanning.
安全審計
安全This is a legitimate defensive security documentation skill for memory forensics. All 86 static findings are false positives: command examples are documentation for forensic tools (Volatility, WinPmem, LiME), Cobalt Strike references are YARA detection rules for defensive use, and privilege escalation patterns are standard forensic acquisition techniques. Safe for marketplace publication.
風險因素
偵測到的模式
品質評分
你能建構什麼
事件回應調查
分析受入侵系統的記憶體傾印，以識別攻擊者使用的惡意程序、網路連線和持續性機制。
惡意軟體構件擷取
從程序記憶體中擷取可疑的執行檔和酬載，以便在沙盒環境中進行進一步分析。
企業數位鑑識分析
作為更廣泛鑑識調查的一部分，進行系統性的記憶體取證，以建立時間軸並識別攻擊者活動。
試試這些提示
我需要從 Windows 10 系統取得記憶體進行鑑識分析。應該使用什麼工具？推薦的命令是什麼？
我有一個記憶體傾印檔案。如何使用 Volatility 3 列出所有執行中的程序並識別隱藏或可疑的程序？
哪些 Volatility 命令可以幫助我偵測 Windows 記憶體傾印中的程式碼注入和 DLL 注入？
如何使用 Volatility 從 Windows 記憶體傾印中擷取密碼雜湊和 LSA 秘密？
最佳實務
- 始終先取得記憶體再進行任何磁碟分析，以保留 volatile 資料
- 取得記憶體後立即計算雜湊值，以維持監管鏈
- 使用多個 Volatility 外掛程式來交叉比對發現並驗證結果
- 記錄分析过程中的所有命令、時間戳和發現
避免
- 不要在產生記憶體傾印的同一系統上分析記憶體傾印，以免造成污染
- 不要依賴單一外掛程式的結果 - 務必使用替代外掛程式進行交叉比對
- 不要跳過符號表配置 - 錯誤的符號會導致假陰性