Windows

• 注意事项：Windows进行内存取证过程中必须以管理员身份运行和关闭杀毒软件,否则会导致蓝屏数据丢失
• 准备工具:FTK Imager(可以在杨CC资源站中找到)

FTK取内存过程.

• 打开之后呈现下图

• 

• 中文版点击: 文件 ->Capture Memory 或者点击工具栏中的 捕捉内存

• 英文版点击: file -> Capture Memory 或者点击工具栏中的Capture Memory

• 点击后会出现下图:

• 

• 四个参数分别代表:

  参数	说明	建议
  Destination Path	镜像保存路径	选只读外部介质，命名含时间戳（如 mem_20260125_1200.ad1）
  Destination filename	镜像保存的文件名称
  Indude pagefile	勾选，补充交换区数据
  Create AD1	生成 AD1 格式镜像	勾选，AD1 含哈希与元数据，符合取证规范

• 完成之后,点击捕捉内存,英文版点击Capture Memory即可.

Windows分析内存

• FTK
• 添加证据：Add Evidence → Memory Image，选择 AD1 或 MEM 镜像文件。
• 选择正确的内存分析配置（如 Windows 10 x64），FTK 自动解析内核与进程数据。
• 如果没有FTK Forensic Toolkit 则选择使用volatility3即可
• Volatility3可以在杨CC资源站或者官方找到对应的教程和文件

Linux

Linux内存取证需要准备AVML工具,安装教程请查看杨CC资源站

• 准备好AVML工具后,我们运行以下命令:

• # 直接保存成 lime格式  output.lime 是保存的文件名
  avml output.lime
  # 压缩保存 output.lime.compressed 是保存的文件名
  avml --compress output.lime.compressed
  

• 保存好文件后,直接使用volatility3进行分析即可.

• volatility3分析lime命令:

• vol3 -f [你的文件名称] linux.pslist  # 列出Linux进程
  vol3 -f output.lime linux.netstat  # 查看网络连接
  ...
  # 后续代码请自行研究
  

此教程无下载资源，点击查看资源后，会跳转到CC资源页