Linux 内存取证之常识问题

1. /dev/mem 文件只能存放896M RAM数据
2. Fmem和LIME 获取物理内存的差距
   1. Fmem
      1. 创建一个字符驱动在用户区域，才可以有访问内存权限
      2. Fmem优点是可以获取到超过896M的内存数据
      3. Fmem缺点是需要调查员检查/proc/iomem 去确定哪些RAM被映射了。
   2. LIME
      1. 直接加载一个内核驱动，所有的操作都在内核完成，不需要在用户区域和内核区域交换上下文
      2. 可以选择多种存储格式
3. /proc/kcore ：
   1. 以ELF文件格式获取用户空间的虚拟地址空间。
   2. 32位系统，只能获取864M RAM
   3. 64位系统，读取Documentation/x86/x86_64/mm.txt，可以获取全部内存
4. 32位Linux系统：虚拟地址等于0xc0000000+物理地址
5. 从system.map 中获取结构地址，然后减去0xc0000000 ，最后转换成10进制，加上516 得到对应的物理地址
6. 寻找Kernel DTB
   1. 32位系统：在system.map中获取swapper_pg_dir 的地址，然后减去0xc0000000
   2. 64位系统：在system.map中获取init_level4_pgt 的地址，然后减去0xffffffff80000000