Linux 内存取证 之进程空间取证（Volatility取证）
进程分析目标： 识别出进程和他们的父进程或者子进程（恶意进程的启动进程和别的不一样）pstree 区分内核中的进程（恶意进程通常作为内核进程来运行） grep UID /etc/{passwd,group} 将进程和用户或者组联系起来 进程地址空间分析目标： 学会怎样从一个内存dump中提取出进程的堆，栈，可执行代码的区域 Cat /proc/<pid>/maps...
