| -f | 文件名 |
|---|---|
| -l | 位置 |
| -w | 写操作 |
| Q | 进程号 |
| imageinfo | 内存镜像的基本信息 |
| iehistory | 查看浏览进程 |
| - k | KPCR指定一个特定KPCR地址 |
1、查看基本信息，根据查到的信息确定profile的值
volatility -f 文件.vmem imageinfo
2、指定profile，使用具体的命令
iehistory 是看浏览器的进程，pslist是ps命令(也可以用psscan)，等等
volatility -f BOOM-6452e9b9.vmem --profile=Win7SP1x64 iehistory
3、Kdbgscan
这个插件可以扫描文件的profile的值，通常扫描结果有多个，只有一个结果是完全正确的，kdbgscan和imageinfo都只适用于windows的镜像
Kdbgscan
4、Pslist
volatility -f wuliao.data --profile=Win7SPx64 pslist
pslist可以直接列出运行的进程，如果进程已经结束，会在Exit列显示日期和时间，表明进程已经结束
5、Hivelist
列举缓存在内存中的注册表
volatility -f wuliao.data --profile=Win7SP1x64 hivelist
6、对文件查找及dumo提取某个进程：
volatility -f name --profile=Win7SP1x64 memdump -D . -p 2872
strings -e l ./2872.dmp | grep flag
volatility -f name --profile=Win7SP1x64 dumpfiles -Q 0x000000007e410890 -n --dump-dir=./
7、密码hashdump
olatility -f 文件名 --profile=Win2003SP1x86 hashdump | grep FHREhpe