Ubuntu 18.04上的内存转储失败太大/ proc / kcore /

关于如何使用linpmem在Linux上获取内存有两篇很棒的文章：

尝试从的方法 holdmybeersecurity 我遇到了以下问题，这似乎是一个更普遍的问题：

wget https://github.com/google/rekall/releases/download/v1.5.1/linpmem-2.1.post4 chmod +x linpmem-2.1.post4 ./linpmem-2.1.post4 -o mem.aff4r

正在直接运行并创建一个大文件（停止它> 160GB）。检查 linpmem 更多的关闭它依赖于Linux内存映射 /proc/kcore 获取数据。

sudo ls -lh /proc/kcore -r-------- 1 root root 128T Dec 12 11:32 /proc/kcore

这太棒了！就像声明的那样这里 ...

... /proc/kcore 是内核的RAM的虚拟分配。在64位系统上，大小可以是128T的绝对限制，因为这是系统可以分配的最多。

这是一种反对 man proc：

   /proc/kcore
          This file represents the physical memory of the system and  is  stored  in  the  ELF  core  file  format.   With  this  pseudo-file,  and  an  unstripped  kernel
          (/usr/src/linux/vmlinux) binary, GDB can be used to examine the current state of any kernel data structures.

          The total length of the file is the size of physical memory (RAM) plus 4 KiB.

所以最大的问题是：如何只获取内存/交换，而不是硬盘内容？

— gies0r
source