WinPmem

WinPmem - 物理内存采集工具 WinPmem 曾经是 Windows 的默认 开源 内存采集驱动程序,它原本位于 Rekall 项目中,但最近已被分离到自己的仓库中。 这是 Windows 版本。 Linux 版本 Linpmem 位于: https://github.com/Velocidex/Linpmem ## 版权 本代码最初是在 Google 开发的,但已按 Apache 许可证发布。 ### 描述 WinPmem 是一个物理内存采集工具,具有以下特性: - 开源

• 支持 Win7 - Win 10, x86 + x64。WDK7600 可用于包含 WinXP 支持。默认情况下，提供的 WinPmem 可执行文件将使用 WDK10 编译，支持 Win7 - Win10，并具有更现代的代码。

• 我们使用了一个读取设备接口,而不是像其他镜像工具那样从内核中写入镜像。这样,我们可以使用复杂的用户空间镜像工具(例如跨网络复制、哈希等),以及在系统运行时进行分析(例如可以直接在设备上运行)。本目录中的文件(包括 WinPmem 源代码和签名二进制文件),都遵循以下许可协议: Apache 许可证,版本 2.0

二进制名称中的 mini 指的是此成像器是一个简单的成像器 - 它只能生成 RAW 格式的图像。过去我们发布了基于 AFF4 的 WinPmem 成像器，但该成像器尚未更新为新的驱动。如果您需要基于 AFF4 的成像器，请告诉我们。