дамп оперативной памяти в Linux с помощью утилиты Rekall

[federoff]

Как и в случае со снятием образа жесткого диска в Linux, существует несколько способов сделать дамп оперативной памяти в Linux. Среди вариантов:

• использование нативного модуля ядра Linux Memory Extractor (LiME);
• скрипт Linux Memory Grabber, который не требует установки и который можно запускать, к примеру, с флешки;
• связка утилит lmap и pmem, которые входят в пакет Rekall. Их-то я и буду использовать.

Пара слов о Rekall. Это отдельная ветвь развития известного фреймворка , которая написана на Python



Переходим в папку с утилитой и собираем ее из исходников:

1 2	$ cd rekall/tools/linux/ $ make

Грузим драйвер ядра pmem.ko в оперативную память:

1	$ sudo insmod pmem.ko

Проверяем инициализацию драйвера:

1	$ sudo lsmod

После этого драйвер создает файл-контейнер под наш будущий образ RAM: /dev/pmem.

Теперь с помощью все той же утилиты dd создаем сам образ оперативной памяти системы:

1	$ dd if=/dev/pmem of=forensic_RAM_image.raw

Ну и после завершения работы выгружаем драйвер:

1	$ rmmod pmem

Дело сделано!