irMempull:PowerShell 内存拉取脚本

IR 内存拉取 (irMempull) 描述： irMempull 是一个 PowerShell 脚本，用于从实时系统中提取内存。 在 Windows 7、8、Server 2008 和 Server 2012 系统上测试。 它利用 WinPMEM 内存转储工具来转储内存。 笔记： 所有测试均在 PowerShell v4 上完成 需要 WinPMEM.exe（来自 Rekall Memory Forensic Toolkit） 需要 7za.exe（7zip cmd 行）进行带密码保护的压缩 假设目录： c:\windows\temp\IR - 在目标上完成工作的地方（无需创建） ***正如预期的那样：必须由在远程系统上拥有管理员凭据的用户运行。 假设目标系统是域的一部分，但不是必需的。 链接： irMempull 主要 - 所需工具的链接： WinPMEM.e