# 安裝編譯依賴
sudo apt update
sudo apt install build-essential linux-headers-$(uname -r)

# 下載和編譯 LiME
git clone https://github.com/504ensicsLabs/LiME.git
cd LiME/src
make

# 使用 LiME 獲取內(nèi)存（輸出到文件）
sudo insmod lime-$(uname -r).ko "path=./memory.lime format=lime"

# 或者通過網(wǎng)絡(luò)傳輸?shù)竭h程主機
sudo insmod lime-$(uname -r).ko "path=tcp:4444 format=lime"

# 下載 AVML
wget https://github.com/microsoft/avml/releases/latest/download/avml
chmod +x avml

# 獲取內(nèi)存
sudo ./avml memory.bin

# 編譯安裝 fmem
git clone https://github.com/NateBrune/fmem
cd fmem
make
sudo ./run.sh

# 使用 dd 獲取內(nèi)存
sudo dd if=/dev/fmem of=memory.dump bs=1MB

# 復(fù)制內(nèi)核內(nèi)存鏡像
sudo cp /proc/kcore memory.kcore

# 注意：這通常不包含完整的物理內(nèi)存

# 獲取特定進程的內(nèi)存
sudo cat /proc/[PID]/mem > process_memory.dump

# 獲取所有進程列表
ps aux

# 創(chuàng)建內(nèi)存快照
vmrun -T ws snapshot "[VMX文件路徑]" "內(nèi)存快照"

# 或者直接掛起虛擬機獲取 .vmem 文件

# 使用 virsh 創(chuàng)建內(nèi)存轉(zhuǎn)儲
virsh dump [虛擬機名稱] --memory-only memory.dump

# 或者使用 qemu-monitor
echo "dump-guest-memory memory.dump" | socat - UNIX-CONNECT:/var/run/qemu-[VM].monitor

# 獲取容器內(nèi)進程內(nèi)存
docker exec [容器ID] cat /proc/1/mem > container_memory.dump

# 或者使用 CRIU 檢查點
docker checkpoint create [容器名] memory-checkpoint

#!/bin/bash
# quick_memory_capture.sh

TIMESTAMP=$(date +%Y%m%d_%H%M%S)
OUTPUT_FILE="memory_capture_${TIMESTAMP}.lime"

echo "[*] 開始內(nèi)存獲取: $(date)"
echo "[*] 輸出文件: ${OUTPUT_FILE}"

# 檢查 LiME 模塊
if [ -f "./lime.ko" ]; then
    echo "[*] 使用 LiME 獲取內(nèi)存"
    sudo insmod ./lime.ko "path=${OUTPUT_FILE} format=lime"
    sudo rmmod lime
else
    echo "[!] LiME 不可用，嘗試其他方法"
    # 備用方法可以在這里添加
fi

echo "[+] 內(nèi)存獲取完成: $(date)"
echo "[+] 文件大小: $(du -h ${OUTPUT_FILE})"

# 1. 驗證系統(tǒng)信息
uname -a
free -h

# 2. 選擇合適的內(nèi)存獲取工具
# 3. 執(zhí)行獲取命令
# 4. 驗證獲取的內(nèi)存文件完整性
file memory.dump
ls -lh memory.dump

# 檢查文件類型
file memory.dump

# 檢查文件大小（應(yīng)該接近物理內(nèi)存大?。?
ls -lh memory.dump

# 使用 Volatility 驗證可讀性
python2 vol.py -f memory.dump imageinfo