volreg-0.2のインストール

volreg-0.2.zipファイルを展開すると、forensics,memory_objects,memory_plugins の三つのフォルダが作成されます。それぞれのフォルダにあるファイルを、Volatility-1.3_Beta配下にある該当フォルダ配下にコピーします。プラグインを認識しているかどうかは、Supported Plugin Commands に hashdump などが表示されるかで確認できます。

        Supported Plugin Commands:
                cachedump       Dump (decrypted) domain hashes from the registry
                hashdump        Dump (decrypted) LM and NT hashes from the registry
                hivelist        Print list of registry hives
                hivescan        Scan for _CMHIVE objects (registry hives)
                lsadump         Dump (decrypted) LSA secrets from the registry
                memmap_ex_2     Print the memory map
                printkey        Print a registry key, and its subkeys and values

                pslist_ex_1     Print list running processes
                pslist_ex_3     Print list running processes
                usrdmp_ex_2     Dump the address space for a process

hashdmp など追加したプラグインを認識できていることが確認できたら、実行してみます。