# Installation ### Vol3 ```bash git clone https://github.com/volatilityfoundation/volatility3.git cd volatility3 python3 setup.py install python3 vol.py -h ``` ### Vol2 ```bash # From source git clone https://github.com/volatilityfoundation/volatility.git cd volatility python setup.py install ```

# Identify Image ### Vol2 ```bash vol.py -f imageinfo vol.py -f kdbgscan ``` ### Vol3 ```bash vol.py -f windows.info ```

# Processes ### List / scan / tree ```bash # Vol2 vol.py -f --profile pslist vol.py -f --profile psscan vol.py -f --profile pstree vol.py -f --profile psxview # Vol3 vol.py -f windows.pslist vol.py -f windows.psscan vol.py -f windows.pstree ``` ### Dump process ```bash # Vol2 vol.py -f --profile procdump -p --dump-dir="/output" # Vol3 vol.py -f -o "/output" windows.dumpfiles --pid ``` ### Dump process memory ```bash # Vol2 vol.py -f --profile memdump -p --dump-dir="/output" # Vol3 vol.py -f -o "/output" windows.memmap --dump --pid ``` ### Handles ```bash # Vol2 vol.py -f --profile handles -p # Vol3 vol.py -f windows.handles --pid ``` ### Loaded DLLs ```bash # Vol2 vol.py -f --profile dlllist -p # Vol3 vol.py -f windows.dlllist --pid ``` ### Command line ```bash # Vol2 vol.py -f --profile cmdline vol.py -f --profile cmdscan vol.py -f --profile consoles # Vol3 vol.py -f windows.cmdline ``` ### Environment variables ```bash # Vol2 vol.py -f --profile envars vol.py -f --profile envars -p # Vol3 vol.py -f windows.envars.Envars [--pid ] ``` ### SIDs / privileges ```bash # Vol2 vol.py -f --profile getsids vol.py -f --profile getsids -p vol.py -f --profile privs --pid # Vol3 vol.py -f windows.getsids.GetSIDs [--pid ] vol.py -f windows.privileges.Privs [--pid ] ```

# Network ```bash # Vol2 vol.py -f --profile netscan vol.py -f --profile netstat # Vol3 vol.py -f windows.netscan vol.py -f windows.netstat ```

# Services ```bash # Vol2 vol.py -f --profile svcscan vol.py -f --profile getservicesids # Vol3 vol.py -f windows.svcscan.SvcScan vol.py -f windows.getservicesids.GetServiceSIDs ```

# Registry ### List hives ```bash # Vol2 vol.py -f --profile hivescan vol.py -f --profile hivelist # Vol3 vol.py -f windows.registry.hivescan vol.py -f windows.registry.hivelist ``` ### Print key ```bash # Vol2 vol.py -f --profile printkey vol.py -f --profile printkey -K "Software\Microsoft\Windows\CurrentVersion" # Vol3 vol.py -f windows.registry.printkey vol.py -f windows.registry.printkey --key "Software\Microsoft\Windows\CurrentVersion" ``` ### Dump hive ```bash # Vol2 vol.py -f --profile hivedump -o # Vol3 - no direct equivalent, try dumpfiles with offset ```

# Credentials ```bash # Vol2 vol.py -f --profile hashdump vol.py -f --profile cachedump vol.py -f --profile lsadump # Vol3 vol.py -f windows.hashdump.Hashdump vol.py -f windows.cachedump.Cachedump vol.py -f windows.lsadump.Lsadump ```

# Files ### Scan files ```bash # Vol2 vol.py -f --profile filescan # Vol3 vol.py -f windows.filescan ``` ### Dump files ```bash # Vol2 vol.py -f --profile dumpfiles --dump-dir="/output" vol.py -f --profile dumpfiles --dump-dir="/output" -Q vol.py -f --profile dumpfiles --dump-dir="/output" -p # Vol3 vol.py -f -o "/output" windows.dumpfiles vol.py -f -o "/output" windows.dumpfiles --virtaddr vol.py -f -o "/output" windows.dumpfiles --physaddr ```

# Malware / Hunting ### Detect injected code ```bash # Vol2 vol.py -f --profile malfind # Vol3 vol.py -f windows.malfind ``` ### API hooks ```bash # Vol2 only vol.py -f --profile apihooks vol.py -f --profile apihooks -p ``` ### SSDT (System Service Descriptor Table) ```bash # Vol2 vol.py -f --profile ssdt # Vol3 vol.py -f windows.ssdt.SSDT ``` ### Driver scan / IRP hooks ```bash # Vol2 vol.py -f --profile driverscan vol.py -f --profile driverirp # Vol3 vol.py -f windows.driverscan.DriverScan vol.py -f windows.driverirp.DriverIrp ``` ### Mutexes ```bash # Vol2 vol.py -f --profile mutantscan # Vol3 vol.py -f windows.mutantscan.MutantScan ``` ### YARA scan ```bash # Vol2 vol.py -f yarascan -y "/path/to/rules.yar" # Vol3 vol.py -f windows.vadyarascan --yara-rules vol.py -f windows.vadyarascan --yara-file "/path/to/rules.yar" vol.py -f yarascan.yarascan --yara-file "/path/to/rules.yar" ```

# User Activity ### Clipboard ```bash # Vol2 only vol.py -f --profile clipboard ``` ### UserAssist (executed programs) ```bash # Vol2 only vol.py -f --profile userassist ``` ### Screenshot ```bash # Vol2 only vol.py -f --profile screenshot --dump-dir="/output" ``` ### Notepad content ```bash # Vol2 only vol.py -f --profile notepad ``` ### IE history ```bash # Vol2 only vol.py -f --profile iehistory ```

# Misc ### MFT parser ```bash # Vol2 only vol.py -f --profile mftparser ``` ### Timeline ```bash # Vol2 vol.py -f --profile timeliner # Vol3 vol.py -f timeLiner.TimeLiner ``` ### Strings per process ```bash strings -a -t d > strings.txt # Vol2 vol.py -f --profile strings -s strings.txt ``` ### Dump certs / SSL keys ```bash # Vol2 only vol.py -f --profile dumpcerts ``` ### autoVolatility3 ```bash # https://github.com/H3xKatana/autoVolatility3 python3 autovol3.py -f -o /output -s full # all plugins python3 autovol3.py -f -o /output -s normal # balanced python3 autovol3.py -f -o /output -s minimal # limited set ``` ### autoVolatility (Vol2) ```bash # https://github.com/carlospolop/autoVolatility python autoVolatility.py -f -d /output -e /path/to/vol.py ```

Notes

Red team5 notes

Blue team2 notes