extracting-memory-artifacts-with-rekall
使用 Rekall 内存取证框架分析内存转储，检测进程空洞化（process hollowing）、通过 VAD 异常注入的代码、隐藏进程和 rootkit。应用 pslist、psscan、vadinfo、malfind 和 dlllist 等插件从 Windows 内存镜像中提取取证工件。适用于应急响应内存分析场景。
Best use case
extracting-memory-artifacts-with-rekall is best used when you need a repeatable AI agent workflow instead of a one-off prompt.
使用 Rekall 内存取证框架分析内存转储，检测进程空洞化（process hollowing）、通过 VAD 异常注入的代码、隐藏进程和 rootkit。应用 pslist、psscan、vadinfo、malfind 和 dlllist 等插件从 Windows 内存镜像中提取取证工件。适用于应急响应内存分析场景。
Teams using extracting-memory-artifacts-with-rekall should expect a more consistent output, faster repeated execution, less prompt rewriting.
When to use this skill
- You want a reusable workflow that can be run more than once with consistent structure.
When not to use this skill
- You only need a quick one-off answer and do not need a reusable workflow.
- You cannot install or maintain the underlying files, dependencies, or repository context.
Installation
Claude Code / Cursor / Codex
Manual Installation
- Download SKILL.md from GitHub
- Place it in
.claude/skills/extracting-memory-artifacts-with-rekall/SKILL.mdinside your project - Restart your AI agent — it will auto-discover the skill
How extracting-memory-artifacts-with-rekall Compares
| Feature / Agent | extracting-memory-artifacts-with-rekall | Standard Approach |
|---|---|---|
| Platform Support | Not specified | Limited / Varies |
| Context Awareness | High | Baseline |
| Installation Complexity | Unknown | N/A |
Frequently Asked Questions
What does this skill do?
使用 Rekall 内存取证框架分析内存转储，检测进程空洞化（process hollowing）、通过 VAD 异常注入的代码、隐藏进程和 rootkit。应用 pslist、psscan、vadinfo、malfind 和 dlllist 等插件从 Windows 内存镜像中提取取证工件。适用于应急响应内存分析场景。
Where can I find the source code?
You can find the source code on GitHub using the link provided at the top of the page.
SKILL.md Source
# 使用 Rekall 提取内存工件
## 说明
使用 Rekall 分析内存转储，查找入侵迹象，包括进程注入、隐藏进程和可疑网络连接。
```python
from rekall import session
from rekall import plugins
# 使用内存镜像创建 Rekall 会话
s = session.Session(
filename="/path/to/memory.raw",
autodetect=["rsds"],
profile_path=["https://github.com/google/rekall-profiles/raw/master"]
)
# 列出进程
for proc in s.plugins.pslist():
print(proc)
# 检测注入代码
for result in s.plugins.malfind():
print(result)
```
关键分析步骤：
1. 加载内存镜像并自动检测配置文件
2. 运行 pslist 和 psscan 查找隐藏进程
3. 使用 malfind 检测进程 VAD 中注入/空洞化的代码
4. 使用 netscan 检查网络连接
5. 使用 dlllist/modules 提取可疑 DLL 和驱动程序
## 示例
```python
from rekall import session
s = session.Session(filename="memory.raw")
# 比较 pslist 与 psscan，查找隐藏进程
pslist_pids = set(p.pid for p in s.plugins.pslist())
psscan_pids = set(p.pid for p in s.plugins.psscan())
hidden = psscan_pids - pslist_pids
print(f"Hidden PIDs: {hidden}")
```Related Skills
performing-memory-forensics-with-volatility3
使用 Volatility 3 分析易失性内存转储，以提取运行中的进程、网络连接、加载的模块以及恶意活动的证据。
performing-memory-forensics-with-volatility3-plugins
使用 Volatility3 插件分析内存转储，检测 Windows、Linux 和 macOS 内存镜像中的注入代码、Rootkit、凭据窃取和恶意软件痕迹。
investigating-ransomware-attack-artifacts
识别、收集和分析勒索软件攻击制品，以确定变种、初始访问向量、加密范围和恢复选项。
implementing-memory-protection-with-dep-aslr
实施内存保护机制，包括 DEP（数据执行防护）、ASLR（地址空间布局随机化）、 CFG（控制流防护）和其他漏洞利用缓解措施，以防御内存损坏攻击。适用于加固端点 以抵御缓冲区溢出利用、ROP 链和代码注入的场景。适用于涉及内存保护、漏洞利用缓解、 DEP、ASLR 或 CFG 配置的请求。
implementing-code-signing-for-artifacts
本技能涵盖为构建产物实施代码签名，以确保软件供应链中的完整性和真实性。 内容包括使用 GPG、Sigstore 和平台专用签名工具对二进制文件、软件包和容器进行签名， 建立信任链，以及在部署管道中验证签名。
extracting-windows-event-logs-artifacts
使用 Chainsaw、Hayabusa 和 EvtxECmd 提取、解析和分析 Windows 事件日志（EVTX），以检测横向移动、持久化和权限提升。
extracting-iocs-from-malware-samples
从恶意软件样本中提取攻陷指标（IoC），包括文件哈希、网络指标（IP、域名、URL）、 主机痕迹（文件路径、注册表键、互斥锁）以及行为模式，用于威胁情报共享和检测规则创建。 适用于 IoC 提取、威胁指标采集、恶意软件指标收集或从样本构建检测内容等请求场景。
extracting-credentials-from-memory-dump
使用 Volatility 和 Mimikatz 从内存转储中提取缓存的凭据、密码哈希、Kerberos 票据和身份验证令牌，用于取证调查。
extracting-config-from-agent-tesla-rat
从 Agent Tesla RAT 样本中提取嵌入的配置信息，包括 SMTP/FTP/Telegram 数据泄露凭据、键盘记录器设置和 C2 端点，使用 .NET 反编译和内存分析技术。
extracting-browser-history-artifacts
从 Chrome、Firefox 和 Edge 中提取并分析浏览器历史记录、Cookie、缓存、下载记录和书签，以获取用户网络活动的取证证据。
conducting-memory-forensics-with-volatility
使用 Volatility 3 执行内存取证分析，从事件响应期间采集的 RAM 转储中提取恶意软件执行、进程注入、网络连接和凭据窃取的证据。涵盖内存采集、进程分析、DLL 检查和恶意软件检测。适用于内存取证、RAM 分析、Volatility 框架、内存转储调查、易失性证据分析或实时内存采集相关请求。
analyzing-windows-shellbag-artifacts
分析 Windows ShellBag 注册表取证痕迹，使用 SBECmd 和 ShellBags Explorer 重建文件夹浏览活动，检测对可移动介质和网络共享的访问，并在删除后仍能确认用户与目录的交互行为。