0前言
在对linux进行取证时,通常需要进行内存取证,而volatility是一个很wonderful的工具,它集成了windows版本的profile文件,linux需要自己制作profile文件。
1安装dwarfdump
这是一款调试信息导出库,具体安装流程为:
# git clone https://github.com/tomhughes/libdwarf.git
# apt-get install libelf1 libelf-dev gcc
# cd libdwarf/
# ./configure
# make
# cd dwarfdump/
# make install
如果报错,检查libelf-dev库是否安装成功,及automake是否安装成功。
2制作profile文件
2.1.进入volatility相关目录,生成module.dwarf文件
# cd /volatility/tools/linux
# make
2.2.将module.dwarf文件和/boot中对应目标系统内核版本的System.map文件打包成.zip文件,放入/volatility/volatility/plugins/overlays/linux/目录中
# cd/volatility/volatility/plugins/overlays/linux
# zip Ubuntu64.zip /root/volatility/tools/linux/module.dwarf/boot/System.map-`uname -r`
# cd/volatility/volatility/plugins/overl