linux 内存镜像提取命令,内存镜像获取工具推荐

Windows系统：

moonsols，官方网站：http://www.moonsols.com/，有免费版和收费版，支持获取内存镜像，文件转换等功能，目前支持到Windows 10。

moonsols可以处理休眠文件(Hiberfil.sys)，crashdump文件和raw memory dump文件，crashdump可以被winDBG加载进行分析，所以最终要转化为crashdump文件。

1、获取镜像，运行DumpIt.exe。获取到的是crashdump文件。

2、拿到raw memory dump文件，运行Bin2Dmp.exe转化为crashdump文件。

例如虚拟机的vmem(vmsn)文件为raw memory dump文件需要转换，详见 利用Mimikatz提取虚拟机内存中的密码 。

3、Hiberfil.sys 转换为crashdump文件。

运行Hibr2Dmp.exe或者Hibr2Bin.exe。

PS：FTKimager获取的是raw memory dump文件。

MAX OSX系统

rekall在三种操作系统下均有获取镜像的Pmem程序，但win和linux下兼容性不行，OSXPMem很棒，支持到最新的10.10.x。

运行如下命令：

sudo chown -R root:wheel pmem.kext

sudo chown chmod -R 755 pmem.kext

sudo kextload -v pmem.kext

./osxpmem -f raw mem.bin

或者直接

sudo bash

kextload pmem.kext

./osxpmem -f raw mem.bin

Linux系统：

将lmg-master内文件放入LiME的src文件夹，运行sudo ./lmg 搞定。

后续的内存分析可以使用专门的取证分析软件或者Volatility等开源软件进行分析。

注意：有些分析工具支持的是bin格式的，也就是raw memory dump。

参考资料：http://www.forensicswiki.org/wiki/Tools%3aMemory_Imaging#Linux