内存取证总览
如果你接手的是一台还在运行的机器，或者一台刚刚被人手动关机的机器，那么有一个问题磁盘永远回答不了：这台机器在被关掉的那一刻，到底在做什么？
知识空间
内存与专项取证
内存镜像、Volatility 框架、凭据与密钥、进程与网络流量证据。
子知识
从下级知识节点继续浏览。
知识文档
该知识空间中已整理并公开的 11 篇文档。
内存证据的可采性与报告
内存证据在法律程序上面临一个结构性的不对称：它和磁盘证据的所有保障机制都是为磁盘设计的。
进程与注入检测
进程是内存里最基础也最有价值的工件。它回答三个基本问题：谁在跑、谁启动了谁、运行的这个是不是它自称的那个。
注入执行与免杀痕迹
只要代码跑起来，就会在内存里留下痕迹——这是绕不开的物理事实，也是这里全部检测面的来源。但痕迹能否在镜像里读到，取决于相关页是否仍驻留、有没有被覆盖或释放。
内存中的凭据与密钥
内存是唯一一个能拿到运行时明文密钥的地方。
内存采集方法
内存只有一次采集机会，而"能不能采到"这件事在不同平台上的答案完全相反。
网络连接与流量痕迹
"这台机器当时在和谁通信"这个问题，内存给出的答案比任何日志都完整。
Linux 与 Android 内存取证
Linux 内存取证在技术上比 Windows 更开放——没有卷级加密，/proc 直接暴露大量运行时信息。
Windows 内存 Profile 机制
内存取证里几乎所有"解析不出来"的问题，根源都在一件事上：框架不知道怎么解释这个镜像里的字节。
Volatility 3 框架与插件选择
有了内存镜像之后，你面对的是一大块没有格式的二进制。
网络流量与 PCAP 取证
技术边界声明：本文只讨论对已获授权检材中网络流量证据的离线分析。全文不涉及中间人劫持、证书透明性投毒、TLS 会话密钥提取、无线握手破解等主动干预手段。需要解密明文时，唯一的合规路径是依法取得会话密钥或由用户提供解密材料，不得以技术手段绕过加密。