Volatility2.4以上版本及fmem使用指南
因为要做一个取证项目,需要用到volatility这款软件,网上很多教程已经是很多年以前的东西了,导致很多人在制作profile这一步就卡住了,今天解决了这个问题,记录在此,分享给大家共同学习
1、安装:
这个很简单,我这里用Debian8
apt-get install volatility
apt-get install volatility-tools
2、安装好后,需要开始制作profile
Windows的profile工具本身已经带的很全了,不需要我们操心,我们只需要关注linux和mac的制作方法
Linux的profiile制作原理很简单,把内核system.map文件和module.dwarf文件打包成zip即可
system.map在/boot目录下,一般格式为System.map-x.xx.x-x-amd64这种,如下图方框所示
这里说下module.dwarf的生成方法:
(1)执行“sudo apt-get install linux-headers-$(uname -r)”,确保安装必要的linux头文件,比如我的debian8里就没安装
(2)进入/lib/modules/x.xx.x-x-amd64文件夹,这里由于版本不同,差别不大,都是这个格式。
(3)创建build和source的软连接:
ln -s /usr/src/linux-headers-x.xx.x-x-amd64 build
ln -s /usr/src/linux-headers-x.xx.x-x-common source
(4)将/usr/src/volatility-tools/linux目录设置为777权限
(5)到volatility-tools目录,执行make命令,即可得到module.dwarf
3、然后将上面得到的module.dwarf和system.map放在一起打包为zip,就是我们需要的profile文件了
4、看了好多教程,都说要把这个制作好的文件放到volatility/plugins/overlays/linux/目录下,但是从2.4开始,这个默认目录已经改变了,我们可以通过下面这条命令找一下这个目录
find / -name overlays
我最终找到的是这个/usr/lib/python2.7/dist-packages/volatility/plugins/overlays这个目录下,如图
我们把制作好的文件放到这个目录下的linux文件夹中,最终放置的目录应该是/usr/lib/python2.7/dist-packages/volatility/plugins/overlays/linux
5、通过volatility --info 看一下,应该就可以找到了
这里你可能发现名称变了,不要担心,这是volatility根据文件内容自己生成的名称,直接调用即可
这里顺便提一下经常和volatility一起配合使用的fmem的安装方法
直接去官网上下载,然后安装的时候,若是出现错误,则可能是哪个header的包没装,执行“sudo apt-get install linux-headers-$(uname -r)”安装一下就好了,然后也需要仿照上面的步骤配置下build 和source文件,基本就没有问题了
Volatility2.4以上版本及fmem使用指南的更多相关文章
- MyEclipse x.x各版本终极优化配置指南
先说优化:随着myeclipse版本不断更新,其功能不断强大,更加智能及人性化,为开发人员提供了很多便利.提高了开发速度,但是也牺牲了性能,让很多机器配置稍差的开发人员头疼不已.其实我们平时常用的功能 ...
- Spring Cloud 升级最新 Finchley 版本,踩坑指南!
https://blog.csdn.net/youanyyou/article/details/81530240 Spring Cloud 升级最新 Finchley 版本,踩了所有的坑! 2018年 ...
- ANTLR3完全参考指南读书笔记[01]
引用 Terence Parr. The Definitive ANTLR Reference, Building Domain Specific Languages(antlr3 version). ...
- python代码风格指南:pep8 中文版
本文档所提供的编码规范,适用于主要的Python发行版中组成标准库的Python代码.请参阅PEP关于Python的C实现的C编码风格指南的描述. 本文档和PEP257(文档字符串规范)改编自Guid ...
- Emacs 快速指南(中文翻译)
Emacs 快速指南 目录 1. 小结(SUMMARY) 2. 基本的光标控制(BASIC CURSOR CONTROL) 3. 如果 EMACS 失去响应(IF EMACS STOPS RESP ...
- PEP 8 - Python代码样式指南
PEP 8 - Python代码样式指南 PEP: 8 标题: Python代码风格指南 作者: Guido van Rossum <python.org上的guido>,Barry Wa ...
- Emacs 快速指南 - 原生中文手册
Emacs 快速指南 -折叠目录 1. 小结(SUMMARY) 2. 基本的光标控制(BASIC CURSOR CONTROL) 3. 如果 EMACS 失去响应(IF EMACS STOPS RES ...
- mfs权威指南
1. 我在性能测试中间遇到些问题,因为我时间有限,所以希望大家一起来测试解决,群策群力.有什么问题请大家及时指出来,因为我也处在一个不断摸索的阶段. 2. mfs不多做介绍,具体细节请参考本版mfs实 ...
- PEP8中文版 -- Python编码风格指南
Python部落组织翻译, 禁止转载 目录 缩进 制表符还是空格? 行的最大长度 空行 源文件编码 导入 无法忍受的 其 ...
随机推荐
- 基于Python的接口测试框架实例
文章来源:http://www.jb51.net/article/96481.htm 下面小编就为大家带来一篇基于Python的接口测试框架实例.小编觉得挺不错的,现在就分享给大家,也给大家做个参考. ...
- Python面试题之Python中type和object的关系
知乎上看到的提问: 两个是互为实例的关系,但不是互为子类的关系,只有type是object的子类,反之则不成立. 大牛说两者是蛋生鸡鸡生蛋的关系,但我还是不明白,有懂的麻烦解释一下, 希望不要给出外文 ...
- GIT使用—分支与合并
一.分支名 分支名不能以斜线结尾 分支名不能以减号开头 以斜杠分割的组件不能以点开头(feature/.new) 分支名的任何地方都不能包含连个连续的点 分支名不能包含空格或空白符 分支名不能包含波浪 ...
- Linux Shell脚本编程--字符串截取
Linux 的字符串截取很有用.有八种方法. 假设有变量 var=http://www.aaa.com/123.htm. 1. # 号截取,删除左边字符,保留右边字符. echo ${var#*//} ...
- 【前端】强大的javascript原生选择器querySelector 和 querySelectorAll
querySelector 和 querySelectorAll 在传统的 JavaScript 开发中,查找 DOM 往往是开发人员遇到的第一个头疼的问题,原生的 JavaScript 所提供的 D ...
- arp攻击的处理方法
http://www.hacking-tutorial.com/tips-and-trick/4-steps-to-prevent-man-in-the-middle-attack-arp-poiso ...
- Leetcode——Third Maximum Number
Question Given a non-empty array of integers, return the third maximum number in this array. If it d ...
- 一款简单易用的.Net 断言测试框架 : Shouldly
GitHub地址:https://github.com/shouldly/shouldly Shouldly的官方文档:http://docs.shouldly-lib.net/ Nuget安装: 在 ...
- [BZOJ3244][NOI2013]树的计数
这题大家为什么都写O(NlogN)的算法呢?…… 让本蒟蒻来写一个O(N)的吧…… 首先还是对BFS序和DFS序重编号,记标好的DFS序为d[1..n].令pos[x]为x在d[]中出现的位置,即po ...
- python之Memcached 安装及操作
一.Memcached Memcached 是一个高性能的分布式内存对象缓存系统,用于动态Web应用以减轻数据库负载.它通过在内存中缓存数据和对象来减少读取数据库的次数,从而提高动态.数据库驱动网站的 ...