¿Cómo se podría crear un volcado de la memoria física (RAM) en Linux?
¿Qué software, si hay alguno, está disponible para este propósito?
He leído que no se debe escribir en un disco local, sino enviar los datos a través de la red. Alguien sabe las peculiaridades aquí? ¿Funcionaría Ethernet para este propósito, o hay algún comando que minimice la cantidad de almacenamiento en caché antes de enviarlo al disco?
WinHex en Windows tiene dicha funcionalidad:
Estoy buscando algo similar en Linux.
Aquí hay una página de eHow sobre cómo volcar la memoria de Linux
Linux proporciona dos dispositivos virtuales para este propósito, '
/dev/mem' y '/dev/kmem', aunque muchas distribuciones los desactivan por defecto por razones de seguridad. '/dev/mem' está vinculado a la memoria del sistema físico, mientras que '/dev/kmem' se asigna a todo el espacio de memoria virtual, incluido cualquier intercambio. Ambos dispositivos funcionan como archivos normales y se pueden usar con dd o cualquier otra herramienta de manipulación de archivos.
Eso lleva a la página ForensicsWiki en Memory Imaging Tools con la sección Linux / Unix ,
- dd En sistemas Unix, el programa dd puede usarse para capturar el contenido de la memoria física utilizando un archivo de dispositivo (por ejemplo, / dev / mem y / dev / kmem). En los núcleos de Linux recientes, / dev / kmem ya no está disponible. En núcleos aún más recientes, / dev / mem tiene restricciones adicionales. Y en el más reciente, / dev / mem ya no está disponible por defecto. A lo largo de la serie 2.6 del núcleo, la tendencia ha sido reducir el acceso directo a la memoria a través de archivos de pseudodispositivos. Consulte, por ejemplo, el mensaje que acompaña este parche: http://lwn.net/Articles/267427/ . En los sistemas Red Hat (y distribuciones derivadas como CentOS), el controlador de bloqueo se puede cargar para crear un pseudodispositivo para el acceso a la memoria ("bloqueo de la sonda mod").
- Segunda mirada Este producto de análisis de memoria comercial tiene la capacidad de adquirir memoria de sistemas Linux, ya sea localmente o desde un objetivo remoto a través de DMA o a través de la red. Viene con módulos precompilados del Controlador de acceso a memoria física (PMAD) para cientos de núcleos de las distribuciones de Linux más utilizadas.
- Idetect (Linux)
- fmem (Linux)
fmem es un módulo del núcleo, que crea el dispositivo / dev / fmem, similar a / dev / mem pero sin limitaciones. Este dispositivo (RAM física) se puede copiar usando dd u otra herramienta. Funciona en 2.6 núcleos de Linux. Bajo GNU GPL.- Goldfish
Goldfish es una herramienta forense en vivo de Mac OS X para uso exclusivo de la policía. Su objetivo principal es proporcionar una interfaz fácil de usar para volcar la RAM del sistema de una máquina de destino a través de una conexión Firewire. Luego extrae automáticamente la contraseña de inicio de sesión del usuario actual y cualquier fragmento abierto de conversación de AOL Instant Messenger que pueda estar disponible. La aplicación de la ley puede comunicarse con goldfish.ae para descargar información.
Ver también: Análisis de memoria de Linux .
También hay GDB comúnmente disponible en la mayoría de Linux.
Y, siempre se recomienda evitar escribir sobre memoria desconocida, ya que puede provocar daños en el sistema.
La volatilidad parece estar funcionando bien y es compatible con Windows y Linux.
Desde su sitio web:
fuente
Second Look es una forma buena y fácil de volcar memoria en Linux: http://secondlookforensics.com/ .
También hay un módulo de kernel recientemente lanzado que puede probar llamado LiME: http://code.google.com/p/lime-forensics/
fuente
Como confirmación pude volcar la memoria de mi VM CentOS 7.x usando este método:
Dado que este 55aah ocurre en el rango c0000h-effffh, es probable que sea el encabezado de expansión PNP:
Referencia: especificación de arranque del BIOSReferencias
fuente