cincan/volatility

Volatility - 高级内存取证框架（版本2.6.1 a438e76）

镜像概述

Volatility是专业的内存取证工具框架，用于提取和分析各类内存样本中的关键信息，如进程、网络连接、注册表等。该镜像基于CinCan项目构建，提供稳定的2.6.1版本，支持多格式内存样本处理与转换。

核心功能

• 多格式支持：兼容原始线性样本（dd）、休眠文件、崩溃转储、VirtualBox核心转储、VMware快照、EWF格式、LiME格式等多种内存文件类型。
• 分析与转换：生成详细的取证报告，同时支持不同内存格式之间的相互转换。

使用场景

• 数字取证调查：用于提取内存中的代码、敏感数据或痕迹。
• 安全事件响应：快速分析内存样本，定位安全事件根源。
• 格式转换：将不同来源的内存文件转换为所需格式，便于后续分析。

配置说明

安装方式

方法1：克隆仓库构建

bash
git clone https://gitlab.com/CinCan/tools
cd tools/volatility
docker build . -t cincan/volatility

方法2：直接拉取镜像

bash
docker pull docker.xuanyuan.run/cincan/volatility

方法3：使用CinCan工具

参考https://gitlab.com/CinCan/cincan-command安装步骤，无需单独安装Volatility。

运行方式

方法1：容器直接运行

• 查看帮助：

  bash
  docker run docker.xuanyuan.run/cincan/volatility
  

• 分析内存样本（示例：/samples目录下的volatility_sample.vmem）：

  bash
  docker run --rm -v /samples:/samples -ti docker.xuanyuan.run/cincan/volatility imageinfo -f /samples/volatility_sample.vmem
  

方法2：CinCan工具运行

• 查看帮助：

  bash
  cincan run cincan/volatility
  

• 分析内存样本：

  bash
  cincan run cincan/volatility imageinfo -f samples/volatility_sample.vmem
  

测试方法

容器包含三项测试：无参数运行、内置插件（imageinfo）运行、外部插件（yarascan）运行。通过tox测试：

bash
pip install tox
tox stable/volatility

参考链接

• 命令参考：https://github.com/volatilityfoundation/volatility/wiki/Command-Reference
• 项目主页：https://github.com/volatilityfoundation/volatility
• 许可证：https://github.com/volatilityfoundation/volatility/blob/master/LICENSE.txt