2

Linux系统下如何转储内存

进程内存转储

＃ProcDump－for－Linux＃

◆ 简介

ProcDump linux版功能与windows版基本相同，使用方式有所变化

◆ 下载地址

https：／／github．com／Sysinternals／ProcDump－for－Linux

◆ 环境限制

仅Linux系统下使用，开发者给出了rpm包和deb包

开发者给出的可运行环境：

· Red Hat Enterprise Linux ／ CentOS 7

· Fedora 29

· Ubuntu 16．04 LTS

所支持的Linux发行版下安装方式

https：／／github．com／Sysinternals／ProcDump－for－Linux／blob／master／INSTALL．md

◆ ProcDump－for－Linux使用方式

1． rpm －Uvh

rpm －Uvh

https：／／packages．microsoft．com／config／centos／7／packages－microsoft－prod．rpm

2． yum install procdump

输入procdump检查是否安装成功

查看上面procdump给出的参数详情来看，指定PID号需要加参数－p

或者使用－w直接指定进程名来进行dump

内存镜像

＃Linux Memory Grabbe＃

◆  简介

Linux Memory Grabber一个用于转储Linux内存并创建Volatility（TM）配置文件的脚本。

◆ 下载地址

https：／／github．com／halpomeranz／lmg／

◆ 环境限制

仅在Linux系统下使用

◆ 安装步骤

该工具可以安装到U盘中，安装方式：

https：／／github．com／halpomeranz／lmg／blob／master／INSTALL

◆ 前期准备

Lmg：  https：／／github．com／halpomeranz／lmg／ 脚本主程序

avml：https：／／github．com／microsoft／avml（可直接下载二进制文件） Linux的便携式内存采集工具

LiME：  https：／／github．com／504ensicsLabs／LiME

下载来的所有文件必须处于同一文件夹

◆ 安装过程

新建目录Linux＿Memory＿Grabber

将需要用到的文件复制到新键的目录中

Cp lmg／lmg Linux＿Memory＿Grabber／

修改avml二进制文件名

mv avml avml－＄（uname －m）

mv avml－convert avml－convert－＄（uname －m）

添加执行权限

chmod ＋x avml－convert－x86＿64 avml－x86＿64

进入到LiME／src目录

Cd LiME／src

Patch ＜ ．．／．．／．．／lmg／lime－Makefile．patch

＃ Centos7下patch 命令使用yum －y install patch安装即可

到这里即安装完成，可以使用二进制文件lmg来转储Linux系统内存，该项目地址中还可以配置Volatility进行联动。

＃使用lmg转储linux内存镜像＃

．／lmg －y

转储成功，保存路径在当前目录下capture文件下

．lime为后缀的文件为系统内存转储文件，可用与导入Volatility进行内存分析。

部分内容源自互联网公开资料整理