因为要做一个取证项目,需要用到volatility这款软件,网上很多教程已经是很多年以前的东西了,导致很多人在制作profile这一步就卡住了,今天解决了这个问题,记录在此,分享给大家共同学习

1、安装:

这个很简单,我这里用Debian8

apt-get install volatility
apt-get install volatility-tools

2、安装好后,需要开始制作profile

Windows的profile工具本身已经带的很全了,不需要我们操心,我们只需要关注linux和mac的制作方法

Linux的profiile制作原理很简单,把内核system.map文件和module.dwarf文件打包成zip即可

system.map在/boot目录下,一般格式为System.map-x.xx.x-x-amd64这种,如下图方框所示

这里说下module.dwarf的生成方法:

(1)执行“sudo apt-get install linux-headers-$(uname -r)”,确保安装必要的linux头文件,比如我的debian8里就没安装

(2)进入/lib/modules/x.xx.x-x-amd64文件夹,这里由于版本不同,差别不大,都是这个格式。

(3)创建build和source的软连接:

ln -s /usr/src/linux-headers-x.xx.x-x-amd64 build
ln -s /usr/src/linux-headers-x.xx.x-x-common source

(4)将/usr/src/volatility-tools/linux目录设置为777权限

(5)到volatility-tools目录,执行make命令,即可得到module.dwarf

3、然后将上面得到的module.dwarf和system.map放在一起打包为zip,就是我们需要的profile文件了

4、看了好多教程,都说要把这个制作好的文件放到volatility/plugins/overlays/linux/目录下,但是从2.4开始,这个默认目录已经改变了,我们可以通过下面这条命令找一下这个目录

find / -name overlays

我最终找到的是这个/usr/lib/python2.7/dist-packages/volatility/plugins/overlays这个目录下,如图

我们把制作好的文件放到这个目录下的linux文件夹中,最终放置的目录应该是/usr/lib/python2.7/dist-packages/volatility/plugins/overlays/linux

5、通过volatility --info 看一下,应该就可以找到了

这里你可能发现名称变了,不要担心,这是volatility根据文件内容自己生成的名称,直接调用即可

这里顺便提一下经常和volatility一起配合使用的fmem的安装方法

直接去官网上下载,然后安装的时候,若是出现错误,则可能是哪个header的包没装,执行“sudo apt-get install linux-headers-$(uname -r)”安装一下就好了,然后也需要仿照上面的步骤配置下build 和source文件,基本就没有问题了

Volatility2.4以上版本及fmem使用指南的更多相关文章

  1. MyEclipse x.x各版本终极优化配置指南

    先说优化:随着myeclipse版本不断更新,其功能不断强大,更加智能及人性化,为开发人员提供了很多便利.提高了开发速度,但是也牺牲了性能,让很多机器配置稍差的开发人员头疼不已.其实我们平时常用的功能 ...

  2. Spring Cloud 升级最新 Finchley 版本,踩坑指南!

    https://blog.csdn.net/youanyyou/article/details/81530240 Spring Cloud 升级最新 Finchley 版本,踩了所有的坑! 2018年 ...

  3. ANTLR3完全参考指南读书笔记[01]

    引用 Terence Parr. The Definitive ANTLR Reference, Building Domain Specific Languages(antlr3 version). ...

  4. python代码风格指南:pep8 中文版

    本文档所提供的编码规范,适用于主要的Python发行版中组成标准库的Python代码.请参阅PEP关于Python的C实现的C编码风格指南的描述. 本文档和PEP257(文档字符串规范)改编自Guid ...

  5. Emacs 快速指南(中文翻译)

      Emacs 快速指南 目录 1. 小结(SUMMARY) 2. 基本的光标控制(BASIC CURSOR CONTROL) 3. 如果 EMACS 失去响应(IF EMACS STOPS RESP ...

  6. PEP 8 - Python代码样式指南

    PEP 8 - Python代码样式指南 PEP: 8 标题: Python代码风格指南 作者: Guido van Rossum <python.org上的guido>,Barry Wa ...

  7. Emacs 快速指南 - 原生中文手册

    Emacs 快速指南 -折叠目录 1. 小结(SUMMARY) 2. 基本的光标控制(BASIC CURSOR CONTROL) 3. 如果 EMACS 失去响应(IF EMACS STOPS RES ...

  8. mfs权威指南

    1. 我在性能测试中间遇到些问题,因为我时间有限,所以希望大家一起来测试解决,群策群力.有什么问题请大家及时指出来,因为我也处在一个不断摸索的阶段. 2. mfs不多做介绍,具体细节请参考本版mfs实 ...

  9. PEP8中文版 -- Python编码风格指南

    Python部落组织翻译, 禁止转载 目录      缩进      制表符还是空格?      行的最大长度      空行      源文件编码      导入      无法忍受的      其 ...

随机推荐

  1. 基于Python的接口测试框架实例

    文章来源:http://www.jb51.net/article/96481.htm 下面小编就为大家带来一篇基于Python的接口测试框架实例.小编觉得挺不错的,现在就分享给大家,也给大家做个参考. ...

  2. Python面试题之Python中type和object的关系

    知乎上看到的提问: 两个是互为实例的关系,但不是互为子类的关系,只有type是object的子类,反之则不成立. 大牛说两者是蛋生鸡鸡生蛋的关系,但我还是不明白,有懂的麻烦解释一下, 希望不要给出外文 ...

  3. GIT使用—分支与合并

    一.分支名 分支名不能以斜线结尾 分支名不能以减号开头 以斜杠分割的组件不能以点开头(feature/.new) 分支名的任何地方都不能包含连个连续的点 分支名不能包含空格或空白符 分支名不能包含波浪 ...

  4. Linux Shell脚本编程--字符串截取

    Linux 的字符串截取很有用.有八种方法. 假设有变量 var=http://www.aaa.com/123.htm. 1. # 号截取,删除左边字符,保留右边字符. echo ${var#*//} ...

  5. 【前端】强大的javascript原生选择器querySelector 和 querySelectorAll

    querySelector 和 querySelectorAll 在传统的 JavaScript 开发中,查找 DOM 往往是开发人员遇到的第一个头疼的问题,原生的 JavaScript 所提供的 D ...

  6. arp攻击的处理方法

    http://www.hacking-tutorial.com/tips-and-trick/4-steps-to-prevent-man-in-the-middle-attack-arp-poiso ...

  7. Leetcode——Third Maximum Number

    Question Given a non-empty array of integers, return the third maximum number in this array. If it d ...

  8. 一款简单易用的.Net 断言测试框架 : Shouldly

    GitHub地址:https://github.com/shouldly/shouldly Shouldly的官方文档:http://docs.shouldly-lib.net/ Nuget安装: 在 ...

  9. [BZOJ3244][NOI2013]树的计数

    这题大家为什么都写O(NlogN)的算法呢?…… 让本蒟蒻来写一个O(N)的吧…… 首先还是对BFS序和DFS序重编号,记标好的DFS序为d[1..n].令pos[x]为x在d[]中出现的位置,即po ...

  10. python之Memcached 安装及操作

    一.Memcached Memcached 是一个高性能的分布式内存对象缓存系统,用于动态Web应用以减轻数据库负载.它通过在内存中缓存数据和对象来减少读取数据库的次数,从而提高动态.数据库驱动网站的 ...