Parser LensAnalyse Source ouverte : Mémoire graphique Outil médico-légal basé sur la Volatilité 3, L'Evangile du joueur de la FCT

Il y a toujours un seuil pour l'obtention de preuves de la mémoire : la voltilité est forte et puissante, mais les paramètres de la ligne de commande sont trop nombreux pour décourager. Maintenant, il y a un outil national open source pour abattre le seuil -- LensAnalyse, un outil de preuve de mémoire graphique basé sur Volatility 3, officiellement ouvert le 15 septembre.

Le développeur, Hilyary, a choisi d'ouvrir la source lors de la Semaine nationale de sensibilisation à la cybersécurité en 2026 (14-20 septembre), dont le thème est « Sécurité du réseau pour les personnes, Cybersécurité pour les personnes - Une ère intelligente de protection du réseau ». C'est le bon moment.

Ça fait mal ?

Ceux qui font de la mémoire judiciaire savent que Volatility 3 est le cadre standard de l'industrie, mais une opération de ligne de commande purement: le nom du plugin doit être enregistré, les paramètres doivent être corrects et la table des symboles doit être faite. La course du FCT prend du temps, l'intervention d'urgence est stressante, et un mauvais argument peut attendre une demi-journée.

LensAnalyse l'a fait directement:Mettez toutes les capacités de Volatility 3 sur un niveau graphique Noodles.Je ne sais pas. Sélectionnez le plugin du panneau de gauche, cliquez et exécutez, et les résultats sont affichés à droite en temps réel. Avec des caches intelligents, répétez la réponse des secondes opérationnelles.

Capacité d'analyse soutenue

Les trois plateformes, Windows, Linux et MacOS, sont couvertes et le nombre de plugins est considérable:

Windows (60+ plugin):

• Analyse des processus: pslist, pstree, pscan, dllist, Poignées, cmdline
• Analyse des réseauxAutres organisateurs
• Formulaire d'inscription: hivéliste, clé d'impression, certificats, userassist
• Code malveillant.Autres organisateurs
• Extraction du mot de passe:hashdump, llsadump, cachedump
• Analyse de service:svcsan, svclist

Linux.: pslist/pstree/psaux/envars, netstat/sockstat/ip addr/ip link, lsmod/check modules/check syscall, bash order historique, lsof/list files/mount info, malfind/check idt/check afinfo.

Je ne sais pas.: pslist/pstree/psaux/envars, netstat/ifconfig, lsmod, lsof/list files/mount, timers/kauth auditeurs/vfsevents.

Quelques fonctions vraiment pratiques.

• Recherche des drapeaux: Autorecherche format commun de drapeau (flag{xx}), évangélique pour les joueurs CTF
• Recherche régulière: expression régulière personnalisée creuse les données en mémoire
• Extraction de chaînes: Une clé pour extraire toutes les chaînes imprimables
• Tableau des symboles LinuxTélécharger automatiquement les paquets de symboles dbgsym debug à partir de sources officielles et les convertir au format ISF pour Volatility 3. Support Ubuntu, Debian, CentOS -- plus de recherche manuelle de symboles
• Support mandataire: HTTP/HTTPS/SOCKS5 avec une table de symboles dans l'environnement Intranet
• ExportationsMarquage, HTML, Word

Cette liste de symboles est faite automatiquement, et ça vaut un compliment séparé. Ceux qui ont eu des rapports sexuels avec Volatility 3 savaient que la liste des symboles était l'une des plus grandes fosses -- les symboles qui devaient être assortis par différentes distributions, différentes versions du noyau, et passé manuellement toute la journée. Ça l'automatise.

Comment jouez-vous ?

Les trois plateformes sont disponibles :

• Fenêtres: Télécharger LensAnalyse.exe, double-cliquez sur l'exécution. Commencez la lecture pour la première fois et acceptez d'utiliser la clause, entrez la page de bienvenue après avoir entré l'ID personnel (maintenant open source, aucun code machine ou code actif)
• Je ne sais pas.(12) +: Télécharger .dmg, glisser vers Applications et ouvrir avec le bouton droit pour la première exécution
• Linux.: Télécharger .tar.gz decompression run run.sh et aussi soutenir source running

Utilisez le processus en quatre étapes : Chargez les miroirs (.raw/.mem/.vmem etc., le système détecte automatiquement le type) → Sélectionnez le plugin gauche pour exécuter les résultats de la vue droite → Exporter le rapport.

Le paquet d'installation de Windows est emballé par Python et signé sans code, et l'adoucissement partiel est mal signalé et doit être téléchargé à partir des versions officielles.

Licence : Gratuit à des fins non commerciales, autorisation à des fins commerciales

Soyons clairs. Évitez les pédales:

• Études personnelles, études de sécurité, concours du FCT, enseignement, tests de pénétration autorisés et intervention d'urgence - tous gratuits
• • Sous réserve de la conservation des informations sur l'auteur original et le droit d'auteur, des modifications, des distributions, du développement secondaire non commercial
• :: Les logiciels ne peuvent pas être vendus sans autorisation écrite, frais de service et intégrés à des produits commerciaux
• Aucune information sur le droit d'auteur ne peut être supprimée ou modifiée, aucun changement ne peut être assimilé à une version officielle

Si vous voulez être commercial, vous devez contacter l'auteur original pour obtenir une autorisation écrite. La clause complète est basée sur la LICENSE dans l'entrepôt.

Pourquoi ça m'intéresse ?

La mémoire est une compétence essentielle dans l'intervention d'urgence et la chasse aux menaces, mais la chaîne d'outils a été le noyau dur. LensAnalyse visait à abaisser le seuil - il n'a pas construit une nouvelle roue, mais a plutôt enveloppé ce moteur mature dans une coque facile à utiliser et a rempli le plus grand trou dans la liste des symboles.

Pour le joueur du FCT, il économise du temps; pour l'intervenant d'urgence, il réduit les erreurs; et pour l'enseignement, il est plus facile pour la mémoire de prendre des preuves. Open source + gratuit non commercial, seuil bas.

Bien sûr, les outils sont des outils. Ce qui détermine réellement la qualité de la preuve, c ' est la compréhension par les analystes de la structure de la mémoire et de l ' idée de la preuve. Mais au moins maintenant, vous n'avez pas à vous soucier des paramètres de la ligne de commande.

Rendre la mémoire plus facile — le slogan, c'est abordable.

Adresse du projet: Github.com/hilyary/LensAnalyse
Heure d'ouverture: 15 septembre 2026
Licence : Gratuit à des fins non commerciales, autorisation à des fins commerciales