工具库 · 浏览 0 · 评论 0
MemProcFS
把目标机内存挂载成盘符的成品包（Windows x64），解压即可用，带图形化目录视图。
先下载哪个文件
Windows 10/11 64 位：
MemProcFS v5.19.3 Windows x64 成品包
不要下 Source code，那是源码。
使用步骤
1. 解压到 C:/DMA/memprocfs，路径不要有中文。
2. 确认目录里有 memprocfs.exe、leechcore.dll、leechcore_driver.dll、vmm.dll。
3. 装好 DMA 驱动，板卡能被 pcileech probe 识别。
4. 管理员终端运行：memprocfs.exe -device fpga -mount m:
5. 打开“此电脑”里的 M: 盘，按 PID 查看进程、模块、注册表、文件。
6. 取证模式：memprocfs.exe -device fpga -mount m: -forensic 1
7. 退出先在终端按 Ctrl+C 卸载，再断板卡。
盘符里看什么
name：进程名与 PID
modules：模块列表
memory：进程内存
registry：注册表
files：文件系统视图
forensic：取证结果（开启后）
常见错误
挂载失败：DLL 不同版本、驱动没装、板卡被占用。
盘符不出现：换一个未占用盘符，或用 -mount C:/DMA/mount 挂到目录。
读取报错：目标机休眠/内存加密/固件不匹配。
说明
MemProcFS 是只读分析工具，不要当普通磁盘写入。版本必须与 LeechCore 同 release。
Windows 10/11 64 位：
MemProcFS v5.19.3 Windows x64 成品包
不要下 Source code，那是源码。
使用步骤
1. 解压到 C:/DMA/memprocfs，路径不要有中文。
2. 确认目录里有 memprocfs.exe、leechcore.dll、leechcore_driver.dll、vmm.dll。
3. 装好 DMA 驱动，板卡能被 pcileech probe 识别。
4. 管理员终端运行：memprocfs.exe -device fpga -mount m:
5. 打开“此电脑”里的 M: 盘，按 PID 查看进程、模块、注册表、文件。
6. 取证模式：memprocfs.exe -device fpga -mount m: -forensic 1
7. 退出先在终端按 Ctrl+C 卸载，再断板卡。
盘符里看什么
name：进程名与 PID
modules：模块列表
memory：进程内存
registry：注册表
files：文件系统视图
forensic：取证结果（开启后）
常见错误
挂载失败：DLL 不同版本、驱动没装、板卡被占用。
盘符不出现：换一个未占用盘符，或用 -mount C:/DMA/mount 挂到目录。
读取报错：目标机休眠/内存加密/固件不匹配。
说明
MemProcFS 是只读分析工具，不要当普通磁盘写入。版本必须与 LeechCore 同 release。