Memory forensic (Volatility)

Volatility est un outils permettant d'analyser les dumps de ram. 
 Installation 
 Pour l'installer il faut cloner le repo github :
 git clone https://github.com/volatilityfoundation/volatility3.git 
 Utilisation 
 Installer les dépendances : 
 
 
 pip3 install -r requirements.txt 
 
 
 Vérfier l'installation : 
 
 
 python3 vol.py -h 
 
 
 Commandes de base 
 Attention certaines commandes peuvent changer selon votre version de volatility, ces commandes fonctionnent avec volatility 3, mais peuvent changées entre temps. 
 Lister les procéssus actifs : 
 
 
 python3 vol.py -f <dump_memoire> windows.pslist 
 
 
 ou selon la version 
 
 
 volatility --profile=Win10x64 -f <chemin_vers_le_dump> pslist 
 
 
 Extraire un processus suspect : 
 
 
 python3 vol.py -f <dump_memoire> windows.dumpfiles --pid <PID> 
 
 
 Lister tous les fichiers présents ou référencés en mémoire : 
 
 
 python3 vol.py -f <dump_memoire> filescan 
 
 
 Extraire un fichier du dump : 
 
 
 python3 vol.py -f dump.raw windows.dumpfiles --physaddr <offset>