李嘉鑫 张国荣 梁成辉 唐远新 翟继强

摘要：Volatility是一个基于Python语言的开源内存取证框架，因功能强大而广泛应用在计算机内存取证和分析领域。针对Volatility基于命令行用户界面（CLI）参数繁多和使用不便的问题，使用Visual Studio 2016 C++集成开发环境，在详细分析Volatility命令数据结构的基础上，利用匿名管道和进程执行技术设计，实现了一个通用的Windows图形用户界面的Volatility操作程序，中文界面、交互性强，方便用户对内存转储文件进行解析和研究。

关键词：取证；Volatility；命令行用户界面；图形用户界面

中图分类号：TP393文献标志码：A文章编号：1008-1739（2021）01-60-4

0引言

内存取证作为计算机取证科学的重要分支，是指从计算机物理内存和页面交换文件中查找、提取、分析易失性证据，是对传统基于文件系统取证的重要补充，是对抗网络攻击或网络犯罪的有力武器[1]。Volatility是一个使用Python语言编写的内存取证工具的框架[2]，可以对现有绝大多数操作系统进行内存取证分析，并且支持多种内存镜像格式。

但是Volatility作为一款基于CLI的命令行工具[3]，只能通过手动输入命令来使用各种功能，并且命令种类繁杂，每种命令还包含多个参数，对于非专业人士来说难于使用。

因此本文提出使用Visual Studio 2016 C++集成开发环境[4]设计和实现一个Windows平台上运行的Volatility图形化界面操作程序，用户可以利用本程序方便快速地进行内存分析和取证。

1系统设计

Volatility图形化界面操作程序采用Windows的窗口消息机制进行构建，免去了多余的第三方依赖。同时，为了能够让非专业人士方便快速地进行内存分析和取证，设计了一套简单且高效的操作模式替代原本繁杂的手工指令输入操作。……