码迷,mamicode.com
首页 > 其他好文 > 详细

Volatility2.4以上版本及fmem使用指南

时间:2017-03-30 18:59:35      阅读:217      评论:0      收藏:0      [点我收藏+]

标签:header   简单   headers   没有   code   打包   学习   sudo   pac   

因为要做一个取证项目,需要用到volatility这款软件,网上很多教程已经是很多年以前的东西了,导致很多人在制作profile这一步就卡住了,今天解决了这个问题,记录在此,分享给大家共同学习

1、安装:

这个很简单,我这里用Debian8

apt-get install volatility
apt-get install volatility-tools

2、安装好后,需要开始制作profile

Windows的profile工具本身已经带的很全了,不需要我们操心,我们只需要关注linux和mac的制作方法

Linux的profiile制作原理很简单,把内核system.map文件和module.dwarf文件打包成zip即可

system.map在/boot目录下,一般格式为System.map-x.xx.x-x-amd64这种,如下图方框所示

技术分享

 

这里说下module.dwarf的生成方法:

(1)执行“sudo apt-get install linux-headers-$(uname -r)”,确保安装必要的linux头文件,比如我的debian8里就没安装

(2)进入/lib/modules/x.xx.x-x-amd64文件夹,这里由于版本不同,差别不大,都是这个格式。

(3)创建build和source的软连接:

ln -s /usr/src/linux-headers-x.xx.x-x-amd64 build
ln -s /usr/src/linux-headers-x.xx.x-x-common source

(4)将/usr/src/volatility-tools/linux目录设置为777权限

(5)到volatility-tools目录,执行make命令,即可得到module.dwarf

3、然后将上面得到的module.dwarf和system.map放在一起打包为zip,就是我们需要的profile文件了

4、看了好多教程,都说要把这个制作好的文件放到volatility/plugins/overlays/linux/目录下,但是从2.4开始,这个默认目录已经改变了,我们可以通过下面这条命令找一下这个目录

find / -name overlays

 我最终找到的是这个/usr/lib/python2.7/dist-packages/volatility/plugins/overlays这个目录下,如图

技术分享

我们把制作好的文件放到这个目录下的linux文件夹中,最终放置的目录应该是/usr/lib/python2.7/dist-packages/volatility/plugins/overlays/linux

5、通过volatility --info 看一下,应该就可以找到了

技术分享

这里你可能发现名称变了,不要担心,这是volatility根据文件内容自己生成的名称,直接调用即可

 

 

这里顺便提一下经常和volatility一起配合使用的fmem的安装方法

直接去官网上下载,然后安装的时候,若是出现错误,则可能是哪个header的包没装,执行“sudo apt-get install linux-headers-$(uname -r)”安装一下就好了,然后也需要仿照上面的步骤配置下build 和source文件,基本就没有问题了

Volatility2.4以上版本及fmem使用指南

标签:header   简单   headers   没有   code   打包   学习   sudo   pac   

原文地址:http://www.cnblogs.com/zlgxzswjy/p/6647442.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!