内存取证 volatility 镜像基本信息（得到profile）： volatility -f mem.data imageinfo 搜索进程、导出内存块： volatility -f mem.data --profile=XXX pslist volatility -f mem.data --profile=XXX memdump -p 276…

ZIP 对于一个 .zip 文件来说，它由3部分组成，而每部分都有对应的文件头标记 压缩源文件数据区（简称数据区），文件头为 50 4B 03 04 压缩源文件目录区（简称目录区），文件头为 50 4B 01 02 压缩源文件目录结束标志（简称目录结束标志），文件头为 50 4B 05 06 其中，所有文件头都有 50 4B，其对应的ASCII码为…