메모리덤프

백트랙 5.0 R3 작업  

필요 패키지 설치 

- dwarfdump

  Debian/Ubuntu 계열에서 dwarfdump를 설치하시면 되고

  OpenSuSE, Fedora 그리고 그 외 배포판에서는 libdwarf-tools를 설치하시면 됩니다.

- GCC/make

  대부분 설치되어 있으실 것이고 Debian/Ubuntu 계열에서는 build-essential을 설치하시면 됩니다.

  (build-essential을 꼭 설치해야 하는지 확인 안했습니다.)

- kernel-devel

  커널 모듈 빌드를 위한 헤더 파일들이 필요합니다. 

volatility 다운 

wget 이나 svn 으로 다운 

svn checkout http://volatility.googlecode.com/svn/trunk/ volatility-read-only

- vtypes 생성 

# cd volatility-2.2-rc2/tools/linux

# make

# head module.dwarf

profile 생성시 / libdwarf 패키지 설치 

http://siliconslick.com/papitools/centos/5/RPMS/i386/

-profile 만들기 

[root@localhost volatility-2.3.1]# zip volatility/plugins/overlays/linux/

__init__.py  elf.py       linux.py     linux64.py   

[root@localhost volatility-2.3.1]# zip volatility/plugins/overlays/linux/Cent5.x.zip tools/linux/module.dwarf /boot/System.map-2.6.18-348.el5 

  adding: tools/linux/module.dwarf (deflated 89%)

  adding: boot/System.map-2.6.18-348.el5 (deflated 73%)

python vol.py -f /free/memory.lime --profile=Linuxlinuxx86 linux_pstree