در دنیای فارنزیک دیجیتال، گرفتن و تحلیل memory dump (یا همان تصویر حافظه RAM) از ویندوز کار نسبتاً جاافتاده‌ای است.
اما وقتی نوبت به سیستم‌های Linux می‌رسه، ابزارها، قالب داده‌ها، و ساختارهای کرنل آن‌قدر متنوع و غیر‌استاندارد هستند که پارس کردن (parse) درست حافظه‌ی لینوکس تقریباً همیشه مشکل‌زاست.
مقاله توضیح می‌ده که:
مشکلات، از ناهمگونی بین نسخه‌های کرنل و buildهای سفارشی شروع می‌شن؛
بعد به مسئله‌ی symbol درست نداشتن (kernel symbols) می‌رسه؛
و نهایتاً خطاهای ابزارهایی مثل Volatility یا Rekall در تفسیر ساختارهای task_struct، mm_struct، dentry و غیره رو بررسی می‌کنه.
آخرین برنامه های آکادمی روزبه را از واتس اپ زیر دریافت کنید 09902857290
Www.haumoun.com
https://memoryforensic.com/the-problem-with-parsing-linux-based-memory-dumps/
اما وقتی نوبت به سیستم‌های Linux می‌رسه، ابزارها، قالب داده‌ها، و ساختارهای کرنل آن‌قدر متنوع و غیر‌استاندارد هستند که پارس کردن (parse) درست حافظه‌ی لینوکس تقریباً همیشه مشکل‌زاست.
مقاله توضیح می‌ده که:
مشکلات، از ناهمگونی بین نسخه‌های کرنل و buildهای سفارشی شروع می‌شن؛
بعد به مسئله‌ی symbol درست نداشتن (kernel symbols) می‌رسه؛
و نهایتاً خطاهای ابزارهایی مثل Volatility یا Rekall در تفسیر ساختارهای task_struct، mm_struct، dentry و غیره رو بررسی می‌کنه.
آخرین برنامه های آکادمی روزبه را از واتس اپ زیر دریافت کنید 09902857290
Www.haumoun.com
https://memoryforensic.com/the-problem-with-parsing-linux-based-memory-dumps/
Comments
Be the first to add a comment
Log in to comment