LovelyMem - 基于Memprocfs和Volatility的可视化内存取证工具

项目说明

<p align="center">
<img src="src-tauri/icons/logo.svg" width="132" alt="Lo V2 Logo">
</p>

<h1 align="center">Lo V2</h1>

<p align="center">
<strong>简体中文</strong> · <a href="./README_EN.md">English</a>
</p>

<p align="center">
面向 Windows 的桌面内存取证工作台<br>
将 MemProcFS、、MemNixFS、调查视图与 AI 取证 Agent 整合到统一界面
</p>

<p align="center">
<img src=" alt="Tauri 2">
<img src=" alt="Rust 2024">
<img src=" alt="TypeScript 5">
<img src=" alt="Windows x64">
<img src=" alt="Chinese and English">
<a href="LICENSE"><img src=" alt="AGPL-3.0-only"></a>
<a href=" src=" alt="Release build"></a>
<a href=" src=" alt="Latest release"></a>
</p>

<p align="center">
<a href="#从-python-版到-v2">版本演进</a> ·
<a href="#核心能力">核心能力</a> ·
<a href="#快速开始">快速开始</a> ·
<a href="#工具链配置">工具链配置</a> ·
<a href="#目录结构">目录结构</a> ·
<a href="#数据网络与安全边界">安全边界</a> ·
<a href="#项目许可证">许可证</a>
</p>

> [!IMPORTANT]
> v2 是 Lo V2 的主分支。Windows x64 用户可从 Releases 下载独立 EXE；文中的 Linux 支持是指分析 Linux 内存镜像，并不代表桌面客户端已完整支持 Linux 运行。
>
> 若你想体验更佳的内存取证体验 我们还有Lo V3 版本 V3版本一键下载

项目简介

Lo V2 是一款基于 Rust、Tauri 2 与原生 TypeScript 构建的内存取证桌面应用。它把镜像加载、工具执行、结构化结果查看、证据检索、时间线调查、规则分析和报告整理集中在同一个工作区，减少在命令行、CSV 文件和多个查看器之间反复切换的成本。

项目不会把第三方取证引擎打包进仓库。你可以在设置中配置已有工具路径，也可以在 Windows x64 上从对应官方来源一键下载受支持的工具链。

界面展示

从 Python 版到 V2

Lo V2 延续了旧版 Lo Python 的取证思路，但不是一次简单的界面换皮：运行底座、页面组织、工具准备和调查工作流都已重新构建。

| 维度 | Python 版 | Lo V2 |
| --- | --- | --- |
| 技术底座 | Python 3.10 + PySide6 / Qt | Rust 2024 + Tauri 2 + TypeScript |
| 页面组织 | 单个 Qt 主窗口集中承载主要功能区 | 多页面工作台与独立调查视图 |
| 取证引擎 | MemProcFS、 2 / 3，含 Linux 模式 | 保留原有引擎并加入 MemNixFS 工作流 |
| 工具准备 | 用户下载工具后手动维护 YAML 或设置路径 | 智能探测，6 项官方工具逐项或批量安装 |
| 结果查看 | Qt 标签页、CSV 表格与扩展工具 | 内嵌结果工作区与进程、网络、文件、注册表、EVTX 等专用视图 |
| AI 辅助 | 面向结果的自然语言分析与摘要 | 可浏览、检索并调用取证工具的可选 Agent |
| 双语 | 简中 / English，切换后需重启完整生效 | 简中 / English 运行时切换并同步主要窗口 |

核心能力

| 能力 | 说明 |
| --- | --- |
| Windows 内存取证 | 集成 MemProcFS、 2 与 3，覆盖系统、进程、线程、模块、网络、文件、注册表、服务、驱动、内核对象及浏览器痕迹等分析维度。 |
| Linux 内存取证 | 通过 MemNixFS、 2 Linux 与 3 Linux 分析 LiME、AVML、ELF 等 Linux 内存转储。 |
| 统一调查工作区 | 将 CSV 结果直接嵌入主界面，并提供进程树、网络连接、句柄、服务、模块、驱动、NTFS 文件树、注册表和 EVTX 等专用视图。 |
| 证据检索与时间线 | 支持高性能字符串搜索、文件工作区、进程关系视图、时间关系视图、Super Timeline 和 IOC 提取。 |
| 规则驱动分析 | 支持 YARA 扫描、规则校验、内置与外部告警规则，以及针对结构化结果的列提示和风险检查。 |
| AI 取证 Agent | 可选的工具调用 Agent，可协助文件浏览、搜索、CSV/注册表分析及 调用；支持 OpenAI 兼容接口、Anthropic 和本地 Ollama 等用户自配提供商。 |
| 调查记录 | 提供 Markdown 报告编辑、日志查看、命令面板、任务取消和结果导出能力。 |
| 双语界面 | 可在设置中切换简体中文与 English，并同步更新应用窗口和主要工具页面。 |

独立取证工具

工作流概览

快速开始

环境要求

> [!NOTE]
> 仓库使用 Rust 2024 edition。仅运行 Vite 页面时不需要编译 Rust，但浏览器环境无法使用完整的 Tauri 后端能力。

安装与运行

仅预览前端：

Vite 默认监听 ；可通过 TAURI_DE 覆盖主机地址，端口固定为 14222 并启用了严格检查。请始终从仓库根目录运行 npm 命令；不要进入 pages/ 后直接启动 Vite。

构建与检查

当前 bundle.active 为 false，因此 npm run tauri build 主要生成发布可执行文件，不会自动生成 MSI 或 NSIS 安装包。

工具链配置

打开 设置 → 工具链配置，可以探测本机已有路径，也可以逐项或批量下载缺失工具。受管工具默认保存到：

| 工具 | 一键下载 | 说明 |
| --- | :---: | --- |
| Python 3 | 支持 | 安装到应用受管目录，不修改系统 PATH。 |
| Python 2 | 支持 | 仅用于兼容 2；该版本已停止维护，不应作为通用 Python 环境使用。 |
| MemProcFS | 支持 | 自动准备所需 Python 3 环境；挂载功能仍需手动安装 Dokany 2。 |
| 2 | 支持 | 自动准备 Python 2 并创建独立插件目录。 |
| 3 | 支持 | 自动准备 Python 3 和当前安装流程所需的固定依赖。 |
| MemNixFS | 支持 | Linux 内存取证工具；挂载功能仍需手动安装 WinFsp。 |

一键下载器会执行以下保护：

> [!WARNING]
> Python 2 已结束生命周期。Dokany 2 与 WinFsp 属于需要额外权限的系统组件，不会由应用自动安装。安装第三方工具前，请阅读确认框及上游发布包中的 LICENSE / NOTICE。

目录结构

技术栈

数据、网络与安全边界

常见问题

<details>
<summary><strong>Cargo 报错：extern location ... does not exist</strong></summary>

这通常是旧的或不完整的 Rust 构建缓存导致的。清理后重新检查：

</details>

<details>
<summary><strong>Vite 报错：Failed to load /src/main.ts</strong></summary>

请回到仓库根目录后运行 npm run dev 或 npm run tauri dev。Vite 的 root 已配置为 pages/，不应从 pages/ 目录直接启动。

</details>

<details>
<summary><strong>14222 端口被占用</strong></summary>

关闭占用该端口的进程后重试。若确需改端口，必须同时修改 vite.config.ts 与 src-tauri/tauri.conf.json。

</details>

项目许可证

Lo V2 项目代码采用 GNU Affero General Public License v3.0，SPDX 标识为 AGPL-3.0-only。使用、修改、部署或再分发本项目时，请遵守许可证完整条款。

致谢

感谢以下项目及其社区提供的基础能力：

---

<p align="center">用于合法授权场景下的内存取证、应急响应与安全研究。</p>

项目信息

开发语言：TypeScript

Star 数：1749

技术要点

该项目属于CTF思路方向的开源资源，代码结构清晰，适合安全研究人员学习参考。项目围绕基于Memprocfs和Volatility的可视化内存取证工具展开，提供了可运行的实现，对理解相关安全机制、工具原理与攻防技术具有较高的研究价值。

从技术实现角度看，此类项目的核心在于对底层原理的深入理解与工程化落地。开发者在研究过程中可以结合官方文档与社区讨论，梳理项目的初始化流程、核心模块职责与数据流转，逐步掌握其中的技术细节与设计思路。

使用与学习建议

1. 下载源码压缩包，解压到本地环境。

2. 根据项目类型准备对应的运行环境与依赖。

3. 按照 README 中的步骤完成配置与部署。

4. 在隔离的测试环境中运行验证，避免影响生产系统。

免责声明

本资源来源于开源社区，仅供安全研究、技术学习与合法授权范围内的攻防演练使用，请勿用于任何非法或侵害他人权益的用途。使用本项目产生的一切后果由使用者自行承担。