前言：上周介紹了如何給volatility配置第三方插件，很快就有讀者們私信小知說，是不是漏掉啥了，好像還沒講過volatility怎麼用啊？怎麼就第三方插件了？這不小知趕緊補上，這周給大家介紹volatility和它的圖形化插件volexp的使用。
2021新年首發-Linux和MAC系統內存鏡像如何獲取？
內存解析-利用Volatility提取Windows系統中的密碼
volatility其實使用起來不難，我們先來看下傳統的volatility使用用法分為幾步：
1、獲取內存鏡像的作業系統版本
volatility -f 內存鏡像名稱<xxx.img> imageinfo
2、按照volatility的命令格式，通過各種插件指令獲取信息
volatility -f 內存鏡像名稱<xxx.img> --profile=作業系統信息<WinXPSP2x86> 插件名稱<memdump>參數
這確實不難，但是這麼複雜的命令行工具對廣大用戶實在不友好，大家都知道小知的性格，勤快（lan到天際）得不行，所以小知今天除了命令行的volatility 之外，主要是給大家介紹一款圖形化內存分析工具。
volexp，今天的主角登場，一款volatility圖形化插件，可以將volatility的複雜命令轉化成簡單的滑鼠點點點、將文本信息變成直觀的圖形化展示--這太符合小知的性格了
這就是它的主界面，是不是很像process explorer？是不是很直觀？
奉上官網地址，裡面有功能詳細介紹，在此我就不贅言了，各位看官可自行查閱，下面我來講講如何配置。
https://github.com/memoryforensics1/VolExp
雖然用起來簡單易用，但配置還需要花點小時間，官網有兩個版本，分別面向
volatility2與volatility3，我們以面向volatility2的volexp為例，做好以下準備工作：
1.volatility2.6.1
https://github.com/volatilityfoundation/volatility/archive/refs/tags/2.6.1.zip
2.volexp
https://codeload.github.com/memoryforensics1/VolExp/zip/refs/heads/master
3.winobj
https://github.com/kslgroup/WinObj
4.memtriage（需要用到裡面的libapi）
https://github.com/gleeda/memtriage/tree/master/volatility
5.pip
將以上材料準備好後分別解壓
按照上周介紹的方法把volexp中的volexp.py、memtriage.py，memtriage中
libapi.py，winobj中的winobj.py的四個文件依次複製到volatility目錄下的plugins文件夾中。
使用pip安裝以下模塊
pip install service
pip install pypiwin32
pip install yara
pip install requests
至此volexp配置完成，接下來看volexp如何運行。
volexp有兩種方式運行
第一種，作為volatility的插件啟動，命令如下:
python vol.py -f 內存鏡像 --profile=xxxxxxxxxx volexp --dump-dir=導出文件的保存位置
這種方式與傳統的volatility命令行界面無差異，只是輸入這個命令後會彈出圖形界面，還是要記命令，操作還是比較麻煩。
第二種，獨立啟動，進入volexp目錄，命令如下：
python volexp.py
啟動後將打開一個選項界面（上圖），其中四個星號為必填，填好後點擊最下方的
save&continue，界面馬上跳轉到第一張圖的樣式。
在主界面的操作與process explorer基本無異，可以跳轉，可以右鍵，不再需要輸入任何命令，點點滑鼠就可得到想要的分析結果，是不是 so easy！！！
（這才是小知的風格嘛，敲啥命令呀）
以上，就是今天給大家介紹的volatility和它的圖形化插件volexp的使用。
喜歡小知的話請不要忘了關注，點讚，轉發！