内存取证总览
如果你接手的是一台还在运行的机器，或者一台刚刚被人手动关机的机器，那么有一个问题磁盘永远回答不了：这台机器在被关掉的那一刻，到底在做什么？
知识节点
镜像采集
在 内存与专项取证 中继续浏览相关技术、方法与案例。
关联资源
围绕“镜像采集”继续查找可练习的题目与可用检材。
节点文档
当前节点及其下级节点已经公开的知识内容。
阅读
内存采集方法
内存只有一次采集机会，而"能不能采到"这件事在不同平台上的答案完全相反。
Volatility 3 框架与插件选择
有了内存镜像之后，你面对的是一大块没有格式的二进制。
Windows 内存 Profile 机制
内存取证里几乎所有"解析不出来"的问题，根源都在一件事上：框架不知道怎么解释这个镜像里的字节。