Como alguém criaria um despejo de memória física (RAM) no Linux?
Que software, se houver algum, está disponível para esse fim?
Eu li que não se deve gravar em um disco local, mas sim enviar os dados pela rede. Alguém conhece as peculiaridades aqui? A Ethernet funcionaria para esse fim ou existem comandos que minimizem a quantidade de cache antes de enviar para o disco?
O WinHex no Windows tem essa funcionalidade:
Estou procurando algo semelhante no Linux.
Aqui está uma página eHow em Como despejar memória Linux
O Linux fornece dois dispositivos virtuais para esse fim, '
/dev/mem' e '/dev/kmem', embora muitas distribuições os desativem por padrão por razões de segurança. '/dev/mem' está vinculado à memória do sistema físico, enquanto '/dev/kmem' é mapeado para todo o espaço de memória virtual, incluindo qualquer troca. Ambos os dispositivos funcionam como arquivos regulares e podem ser usados com o dd ou qualquer outra ferramenta de manipulação de arquivos.
Isso leva à página ForensicsWiki em Memory Imaging Tools com a seção Linux / Unix ,
- dd Nos sistemas Unix, o programa dd pode ser usado para capturar o conteúdo da memória física usando um arquivo de dispositivo (por exemplo, / dev / mem e / dev / kmem). Nos kernels recentes do Linux, / dev / kmem não está mais disponível. Nos kernels ainda mais recentes, / dev / mem tem restrições adicionais. E no mais recente, / dev / mem também não está mais disponível por padrão. Em toda a série 2.6 do kernel, a tendência tem sido reduzir o acesso direto à memória via arquivos de pseudo-dispositivo. Veja, por exemplo, a mensagem que acompanha este patch: http://lwn.net/Articles/267427/ . Nos sistemas Red Hat (e distribuições derivadas, como o CentOS), o driver de falha pode ser carregado para criar um pseudo-dispositivo para acesso à memória ("falha no modprobe").
- Segunda análise Este produto de análise de memória comercial tem a capacidade de adquirir memória de sistemas Linux, localmente ou de um destino remoto via DMA ou pela rede. Ele vem com módulos PMAD (Physical Memory Access Driver) pré-compilados para centenas de kernels das distribuições Linux mais usadas.
- Identificação (Linux)
- fmem (Linux)
fmem é um módulo do kernel, que cria o dispositivo / dev / fmem, semelhante ao / dev / mem, mas sem limitações. Este dispositivo (RAM física) pode ser copiado usando o dd ou outra ferramenta. Funciona em kernels 2.6 do Linux. Sob GNU GPL.- Goldfish
Goldfish é uma ferramenta forense ao vivo do Mac OS X para uso exclusivo da polícia. Seu principal objetivo é fornecer uma interface fácil de usar para despejar a RAM do sistema de uma máquina de destino por meio de uma conexão Firewire. Em seguida, extrai automaticamente a senha de login do usuário atual e quaisquer fragmentos de conversa abertos do AOL Instant Messenger que possam estar disponíveis. A aplicação da lei pode entrar em contato com goldfish.ae para obter informações sobre download.
Veja também: Análise de memória do Linux .
Também há GDB comumente disponível na maioria dos Linux.
Além disso, é sempre recomendável evitar a gravação em memória desconhecida - isso pode levar à corrupção do sistema.
A volatilidade parece estar funcionando bem e é compatível com Windows e Linux.
No site deles:
fonte
O Second Look é uma maneira boa e fácil de despejar memória no Linux: http://secondlookforensics.com/ .
Também existe um módulo do kernel lançado recentemente, que você pode experimentar chamado LiME: http://code.google.com/p/lime-forensics/
fonte
Como confirmação, consegui despejar a memória da minha VM do CentOS 7.x usando este método:
Dado esse 55aah ocorrendo na faixa de c0000h-effffh, é provável que o PNP Expansion Header:
Referência: especificação de inicialização do BIOSReferências
fonte