内存取证（Volatility 3）

何时使用 / 何时不用

• 用：拿到 .raw/.mem/.core 内存转储做取证（进程列表、网络连接、注入检测、凭据哈希）；恶意样本内存残留分析；事件响应调查
• 用：取证要求可追溯的时间线（进程/网络/注册表事件序列，配合 timeliner）
• 不用：还没有转储——先按 [[re-memdump]] 取（默认转储优先，见 [[re-analyze/platform-tips]]「直读 vs 转储」决策表）
• 不用：实时交互调试（那是 [[re-gdb]] / [[re-x64dbg]] 的活）；文件系统/注册表静态分析（那是 [[re-binary-core]] / 主机取证工具）

工具准备

本技能只读转储文件、不运行样本；涉及动态确认的转 [[re-sandbox]]（默认沙箱最高原则，见 [[re-analyze/platform-tips]]）。

volatility3 —— 内存取证主力（Python 3.8+）