volatility基础使用

识别内存镜像信息：
vol.py imageinfo -f 镜像文件.raw
提取进程列表：
vol.py pslist -f 镜像文件.raw

搜索文件：
vol.py filescan -f 镜像文件.raw
提取指定文件：
vol.py dumpfiles -f 镜像文件.raw --offset 文件偏移 -D 输出目录