Linux 内存取证之常识问题

54 阅读 0 评论 36 点赞

我是靠谱客的博主诚心石头，最近开发中收集的这篇文章主要介绍Linux 内存取证之常识问题，觉得挺不错的，现在分享给大家，希望可以做个参考。

/dev/mem 文件只能存放896M RAM数据
Fmem和LIME 获取物理内存的差距
1. Fmem
  1. 创建一个字符驱动在用户区域，才可以有访问内存权限
  2. Fmem优点是可以获取到超过896M的内存数据
  3. Fmem缺点是需要调查员检查/proc/iomem 去确定哪些RAM被映射了。
2. LIME
  1. 直接加载一个内核驱动，所有的操作都在内核完成，不需要在用户区域和内核区域交换上下文
  2. 可以选择多种存储格式
/proc/kcore ：
1. 以ELF文件格式获取用户空间的虚拟地址空间。
2. 32位系统，只能获取864M RAM
3. 64位系统，读取Documentation/x86/x86_64/mm.txt，可以获取全部内存
32位Linux系统：虚拟地址等于0xc0000000+物理地址
从system.map 中获取结构地址，然后减去0xc0000000 ，最后转换成10进制，加上516 得到对应的物理地址
寻找Kernel DTB
1. 32位系统：在system.map中获取swapper_pg_dir 的地址，然后减去0xc0000000
2. 64位系统：在system.map中获取init_level4_pgt 的地址，然后减去0xffffffff80000000