Volatility 入门常用命令清单

注：命令基本格式为 volatility -f [内存镜像文件] --profile=[系统配置文件] [插件命令] ， profile 需匹配镜像的系统版本（如 Win7SP1x64 ）

一、 基础信息识别

1. imageinfo

作用：分析内存镜像，推荐适配的 profile

命令： volatility -f [镜像文件] imageinfo

​

2. kdbgscan

作用：扫描内核调试器信息，辅助确认 profile

命令： volatility -f [镜像文件] --profile=[profile] kdbgscan

二、 进程分析

1. pslist

作用：列出系统中运行的进程（较基础，易被恶意软件隐藏）

命令： volatility -f [镜像文件] --profile=[profile] pslist

​

2. psscan

作用：扫描内存中的进程，可发现被隐藏的进程

命令： volatility -f [镜像文件] --profile=[profile] psscan

​

3. pstree

作用：以树状结构展示进程父子关系，便于分析恶意进程的启动链

命令： volatility -f [镜像文件] --profile=[profile] pstree

三、 内存数据提取

1. memdump

作用：提取指定进程的内存数据到文件

命令： volatility -f [镜像文件] --profile=[profile] memdump -p [进程PID] -D [输出目录]

​

2. dumpfiles

作用：从内存中提取文件（如未保存的文档、临时文件）

命令： volatility -f [镜像文件] --profile=[profile] dumpfiles -D [输出目录]

四、 密码与凭证提取

1. hashdump

作用：提取 Windows 系统的 SAM 数据库中的用户密码哈希（NTLM）

命令： volatility -f [镜像文件] --profile=[profile] hashdump

​

2. lsadump

作用：提取 LSA 服务中的敏感凭证信息

命令： volatility -f [镜像文件] --profile=[profile] lsadump

五、 网络连接分析

1. netscan

作用：扫描内存中的网络连接、监听端口信息，可发现恶意网络通信

命令： volatility -f [镜像文件] --profile=[profile] netscan

​

2. connscan

作用：检测 TCP 连接信息，补充 netscan 的结果

命令： volatility -f [镜像文件] --profile=[profile] connscan