繁體中文

← 返回列表

析鏡 LensAnalysis 開源：基於 Volatility 3 的圖形化內存取證工具，CTF 選手的福音

itadol5j

內存取證這件事，一直有個門檻：Volatility 強大歸強大，但命令行參數多到勸退。現在有個國產開源工具把這個門檻拆了——析鏡 LensAnalysis，一款基於 Volatility 3 的圖形化內存取證工具，9月15日正式開源。

內存取證工具

開發者是 hilyary，選擇在 2026 年國家網絡安全宣傳週（9月14日至20日）期間開放源代碼，主題正好是”網絡安全爲人民，網絡安全靠人民——智能時代 網安護航”。這個時間點選得很應景。

它解決了什麼痛點

做內存取證的人都知道，Volatility 3 是行業標準框架，但純命令行操作：插件名要記、參數要對、符號表要自己搞。CTF 比賽現場時間緊，應急響應現場壓力大，敲錯一個參數就可能白等半天。

LensAnalysis 乾的事很直接：把 Volatility 3 的全部能力套上一層圖形界面。左側面板選插件，點了就執行，結果實時顯示在右側。附帶智能緩存，重複操作秒級響應。

支持的分析能力

覆蓋 Windows、Linux、macOS 三大平臺，插件量很可觀：

Windows（60+ 插件）：

  • 進程分析：pslist、pstree、psscan、dlllist、handles、cmdline
  • 網絡分析：netscan、netstat（含完整時間戳）
  • 註冊表：hivelist、printkey、certificates、userassist
  • 惡意代碼：malfind、ldrmodules、hollowprocesses
  • 密碼提取：hashdump、lsadump、cachedump
  • 服務掃描：svcscan、svclist

Linux：pslist/pstree/psaux/envars、netstat/sockstat/ip_addr/ip_link、lsmod/check_modules/check_syscall、bash 命令歷史提取、lsof/list_files/mount_info、malfind/check_idt/check_afinfo。

macOS：pslist/pstree/psaux/envars、netstat/ifconfig、lsmod、lsof/list_files/mount、timers/kauth_listeners/vfsevents。

Volatility 3 圖形化插件

幾個真正省事的功能

  • Flag 搜索：自動搜索常見 Flag 格式（flag{xxx}），CTF 選手的福音
  • 正則搜索：自定義正則表達式在內存裏挖數據
  • 字符串提取：一鍵提取所有可打印字符串
  • Linux 符號表自動製作：從官方源自動下載 dbgsym 調試符號包，轉成 Volatility 3 的 ISF 格式。支持 Ubuntu、Debian、CentOS——不用再手動找符號表
  • 代理支持：HTTP/HTTPS/SOCKS5，內網環境也能下符號表
  • 報告導出：Markdown、HTML、Word 三種格式

那個”符號表自動製作”值得單獨誇一句。搞過 Volatility 3 的人知道，符號表是最大的坑之一——不同發行版、不同內核版本都要對應的符號，手動做一遍能耗掉一整天。這功能直接把它自動化了。

怎麼裝怎麼用

三平臺都有現成包：

  • Windows：下載 LensAnalysis.exe，雙擊運行。首次啓動閱讀並同意使用條款，歡迎頁輸入個人 ID 後進入（現已開源，無需機器碼或激活碼）
  • macOS（12+）：下載 .dmg，拖進 Applications，首次運行需右鍵→打開
  • Linux：下載 .tar.gz 解壓運行 run.sh，也支持源碼運行

使用流程四步走：加載鏡像（.raw/.mem/.vmem 等，系統會自動檢測類型）→ 左側選插件執行 → 右側看結果 → 導出報告。

⚠️ Windows 安裝包由 Python 打包且暫未代碼簽名，部分殺軟會誤報，務必從官方 Releases 下載。

許可證：非商用免費，商用需授權

這點要說清楚，避免踩坑：

  • ✅ 個人學習、安全研究、CTF 競賽、教學、授權滲透測試和應急響應——都免費
  • ✅ 保留原作者和版權信息的前提下，可修改、分發、非商業二次開發
  • ❌ 未經書面授權，不得銷售軟件、提供收費服務、集成到商業產品
  • ❌ 不得移除或修改版權信息、不得把修改版冒充官方版

想商用得先聯繫原作者拿書面授權。完整條款以倉庫裏的 LICENSE 爲準。

內存鏡像分析報告

爲什麼值得關注

內存取證是應急響應和威脅狩獵的核心技能，但工具鏈一直偏”硬核”。LensAnalysis 的意義在於降低門檻——它沒造新輪子，而是把 Volatility 3 這個成熟引擎包上了易用的外殼，還順手把符號表這個最大的坑填了。

對 CTF 選手，它省時間；對應急響應人員，它降低誤操作；對教學，它讓內存取證更好講。開源 + 非商用免費，門檻拉得很低。

當然，工具只是工具。真正決定取證質量的，還是分析者對內存結構的理解和取證思路。但至少現在，你不用再爲記命令行參數發愁了。

讓內存取證更簡單——這口號，它擔得起。

項目地址：github.com/hilyary/LensAnalysis
開源時間：2026年9月15日
許可證：非商用免費，商用需授權