Volatility -f winxp.raw imageinfo
#查詢鏡像基本信息
Volatility -f winxp.raw --profile=WinXPSP3x86 pstree
#查運行進程進程樹
Volatility -f winxp.raw --profile=WinXPSP3x86 pslist
#查正在運行的進程
Volatility -f winxp.raw --profile=WinXPSP3x86 memdump -p 324--dump dir=/home/lyshark
#將PID=324的進程dump出來
Volatility -f winxp.raw --profile=WinXPSP3x86 procdump -p 324--dump-dir=/home/lyshark
#將PID=324進程導出為exe
volatility -f winxp.raw --profile=WinXPSP3x86 dlldump -p 324 --dump-dir=/home/lyshark
#將PID=324進程所有dll導出
volatility -f winxp.raw --profile=WinXPSP3x86 getsids -p 324
#查詢指定進程的SID
volatility -f winxp.raw --profile=WinXPSP3x86 dlllist-p 324
#查詢指定進程加載過的DLL
volatility -f winxp.raw --profile=WinXPSP3x86 threads -p 324
#列出當前進程中活躍的線程
volatility -f winxp.raw --profile=WinXPSP3x86 drivermodule
#列出目標中驅動加載情況
volatility -f winxp.raw --profile=WinXPSP3x86 malfind -p 324 -D /home/lyshark
#檢索內存讀寫執行頁
volatility -f winxp.raw --profile=WinXPSP3x86 iehistory
#檢索IE瀏覽器歷史記錄
volatility -f winxp.raw --profile=WinXPSP3x86 joblinks
#檢索計划任務
volatility -f winxp.raw --profile=WinXPSP3x86 cmdscan
#只能檢索命令行歷史
volatility -f winxp.raw --profile=WinXPSP3x86 consoles
#抓取控制台下執行的命令以及回顯數據
volatility -f winxp.raw --profile=WinXPSP3x86 cmdline
#列出所有命令行下運行的程序
volatility -f winxp.raw --profile=WinXPSP3x86 connscan
#檢索已經建立的網絡鏈接
volatility -f winxp.raw --profile=WinXPSP3x86 connections
#檢索已經建立的網絡鏈接
volatility -f winxp.raw --profile=WinXPSP3x86 netscan
#檢索所有網絡連接情況
volatility -f winxp.raw --profile=WinXPSP3x86 sockscan
#TrueCrypt摘要TrueCrypt摘要
volatility -f winxp.raw --profile=WinXPSP3x86 timeliner
#盡可能多的發現目標主機痕跡
volatility -f winxp.raw --profile=WinXPSP3x86 hivelist
#檢索所有注冊表蜂巢
volatility -f winxp.raw --profile=WinXPSP3x86 hivedump -o 0xe144f758
#檢索SAM注冊表鍵值對
volatility -f winxp.raw --profile=WinXPSP3x86 printkey-K "SAM\Domain\Account\Users\Name"
#檢索注冊表中的賬號密碼
volatility -f winxp.raw --profile=WinXPSP3x86 hashdump -y system地址 -s SAM地址
#dump目標賬號Hash值
volatility -f winxp.raw --profile=WinXPSP3x86 printkey -K "SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogin"
#檢索最后登錄的用戶
volatility -f winxp.raw--profile=WinXPSP3x86 userassist
#查詢程序運行次數