使用开源工具进行 Linux 内存取证
计算机的操作系统和应用使用主内存(RAM)来执行不同的任务。这种易失性内存包含大量关于运行应用、网络连接、内核模块、打开的文件以及几乎所有其他的内容信息,但这些信息每次计算机重启的时候都会被清除。
内存取证Memory forensics是一种从内存中找到和抽取这些有价值的信息的方式。Volatility是一种使用插件来处理这类信息的开源工具。但是,存在一个问题:在你处理这些信息前,必须将物理内存转储到一个文件中,而 Volatility 没有这种能力。
因此,这篇文章分为两部分:
第一部分是处理获取物理内存并将其转储到一个文件中。
第二部分使用 Volatility 从这个内存转储中读取并处理这些信息。
