linux下内存取证,Linux下内存取证工具Volatility的使用

#01简介

Volatility是开源的Windows，Linux，MaC，Android的内存取证分析工具，由python编写成，命令行操作，支持各种操作系统。

项目地址：

https://code.google.com/p/volatility/

只介绍简单的使用，详细使用方法可以看CheatSheet。在官方网站包含Linux的相关命令参考：

https://code.google.com/p/volatility/wiki/LinuxCommandReference23#linux_pidhashtable，含以下内容

Processes

linux_pslist

linux_psaux

linux_pstree

linux_pslist_cache

linux_pidhashtable

linux_psxview

linux_lsof

Process Memory

linux_memmap

linux_proc_maps

linux_dump_map

linux_bash

Kernel Memory and Objects

linux_lsmod

linux_moddump

linux_tmpfs

Rootkit Detection

linux_check_afinfo

linux_check_tty

linux_keyboard_notifier

linux_check_creds

linux_check_fop

linux_check_idt

linux_check_syscall

linux_check_modules

linux_check_creds

Networking

linux_arp

linux_ifconfig

linux_route_cache

linux_netstat

linux_pkt_queues

linux_sk_buff_cache

System Information

linux_cpuinfo

linux_dmesg

linux_iomem

linux_slabinfo

linux_mount

linux_mount_cache

linux_dentry_cache

linux_find_file

linux_vma_cache

Miscellaneous

linux_volshell

linux_yarascan

#02安装

源代码安装方法：

apt-get install subversion-tools

svn checkout http://volatility.googlecode.com/svn/trunk/ /usr/local/src/volatility/

参考：

https://code.google.com/p/volatility/wiki/VolatilityInstallation

Back Track和Kali Linux中自带此程序。

以Kali-Linux为例，volatility在“应用程序”-“Kali Linux”-“数字取证”-“内存取证工具集”中。

#03基本使用命令

./vol.py ‐f [image] ­‐profile=[profile] [plugin]

应该是一个Bug，-f后面需要跟绝对路径(Kali)。

查看扫描检查、插件、地址空间等信息

./vol.py --info

查看帮助信息

./vol.py -h/--help

查看指定插件的说明

./vol.py [plugin] --help

从扩展目录加载插件

./vol.py --plugins=[path][plugin]

检查结果输出

./vol.py --output-file=[file]

#04制作Linux系统的Profile

Volatility自带一些windows系统的profile，Linux系统的Profile需要自己制作，制作的方法如下：

(实际是将module.dwarf和system.map打包成一个zip文件，接着将zip文件移动到 volatility/plugins/overlays/linux/ 中。)

Linux的Profile文件是一个zip的压缩包。

准备

$ sudo zip volatility/volatility/plugins/overlays/linux/Ubuntu1204.zip volatility/tools/linux/module.dwarf /boot/System.map-3.2.0-23-generic