Linux 内存获取方法详解

🛠️ 专业内存获取工具

1. LiME (Linux Memory Extractor) - 推荐方法

LiME 是目前最常用的 Linux 内存获取工具：

bash 复制代码

# 安装编译依赖
sudo apt update
sudo apt install build-essential linux-headers-$(uname -r)

# 下载和编译 LiME
git clone https://github.com/504ensicsLabs/LiME.git
cd LiME/src
make

# 使用 LiME 获取内存（输出到文件）
sudo insmod lime-$(uname -r).ko "path=./memory.lime format=lime"

# 或者通过网络传输到远程主机
sudo insmod lime-$(uname -r).ko "path=tcp:4444 format=lime"

2. AVML (Amazon Volatile Memory Lab)

基于 eBPF 的现代内存获取工具：

bash 复制代码

# 下载 AVML
wget https://github.com/microsoft/avml/releases/latest/download/avml
chmod +x avml

# 获取内存
sudo ./avml memory.bin

3. fmem - 传统工具

bash 复制代码

# 编译安装 fmem
git clone https://github.com/NateBrune/fmem
cd fmem
make
sudo ./run.sh

# 使用 dd 获取内存
sudo dd if=/dev/fmem of=memory.dump bs=1MB

📋 基于 /proc 文件系统的方法

1. 通过 /proc/kcore (不推荐用于取证)

bash 复制代码

# 复制内核内存镜像
sudo cp /proc/kcore memory.kcore

# 注意：这通常不包含完整的物理内存

2. 获取进程内存

bash 复制代码

# 获取特定进程的内存
sudo cat /proc/[PID]/mem > process_memory.dump

# 获取所有进程列表
ps aux

🔧 虚拟化环境内存获取

1. VMware 虚拟机

bash 复制代码

# 创建内存快照
vmrun -T ws snapshot "[VMX文件路径]" "内存快照"

# 或者直接挂起虚拟机获取 .vmem 文件

2. QEMU/KVM 虚拟机

bash 复制代码

# 使用 virsh 创建内存转储
virsh dump [虚拟机名称] --memory-only memory.dump

# 或者使用 qemu-monitor
echo "dump-guest-memory memory.dump" | socat - UNIX-CONNECT:/var/run/qemu-[VM].monitor

3. Docker 容器内存

bash 复制代码

# 获取容器内进程内存
docker exec [容器ID] cat /proc/1/mem > container_memory.dump

# 或者使用 CRIU 检查点
docker checkpoint create [容器名] memory-checkpoint

⚡ 紧急响应场景

快速内存获取脚本

bash 复制代码

#!/bin/bash
# quick_memory_capture.sh

TIMESTAMP=$(date +%Y%m%d_%H%M%S)
OUTPUT_FILE="memory_capture_${TIMESTAMP}.lime"

echo "[*] 开始内存获取: $(date)"
echo "[*] 输出文件: ${OUTPUT_FILE}"

# 检查 LiME 模块
if [ -f "./lime.ko" ]; then
    echo "[*] 使用 LiME 获取内存"
    sudo insmod ./lime.ko "path=${OUTPUT_FILE} format=lime"
    sudo rmmod lime
else
    echo "[!] LiME 不可用，尝试其他方法"
    # 备用方法可以在这里添加
fi

echo "[+] 内存获取完成: $(date)"
echo "[+] 文件大小: $(du -h ${OUTPUT_FILE})"

🔍 内存获取最佳实践

准备工作

工具预部署: 在需要监控的系统上提前部署好内存获取工具
存储空间: 确保有足够的磁盘空间（通常等于或大于物理内存大小）
网络准备: 如果通过网络传输，确保带宽充足

执行步骤

bash 复制代码

# 1. 验证系统信息
uname -a
free -h

# 2. 选择合适的内存获取工具
# 3. 执行获取命令
# 4. 验证获取的内存文件完整性
file memory.dump
ls -lh memory.dump

验证获取的内存

bash 复制代码

# 检查文件类型
file memory.dump

# 检查文件大小（应该接近物理内存大小）
ls -lh memory.dump

# 使用 Volatility 验证可读性
python2 vol.py -f memory.dump imageinfo

⚠️ 注意事项

权限要求: 所有方法都需要 root 权限
系统影响: 内存获取可能影响系统性能
完整性: 确保获取过程中系统状态稳定
法律合规: 只在授权的情况下进行内存获取
存储安全: 妥善保管获取的内存文件，可能包含敏感信息

🎯 推荐方案

对于大多数场景，推荐使用 LiME 工具，因为：

专门为取证设计
对系统影响较小
支持多种输出格式
被主流取证工具良好支持