Устройство памяти процессов в ОС Linux. Сбор дампов при помощи гипервизора.
Устройство памяти процессов в ОС Linux. Сбор дампов при помощи гипервизора. • Иногда для анализа вредоносного программного обеспечения или, например, для отладки какого-либо процесса может потребоваться дамп памяти процесса. Но как его собрать без отладчика? Постараемся ответить на этот вопрос в статье. Задачи: - Обозначить цель сбора дампа процесса. - Описать структуру памяти процессов в Linux и отметить различия в старой и новой версиях ядра ОС. - Рассмотреть вариант снятия дампа памяти процесса внутри виртуальной машины на базе связки гипервизора Xen и фреймворка с открытым исходным кодом DRAKVUF. Содержание статьи: - Что такое дамп памяти и зачем он нужен? - Как организована память процессов в ОС Linux? - Почему в новых ядрах используется иная структура (maple tree)? - Сбор областей виртуальной памяти на версии ядра до 6.0; - Сбор областей виртуальной памяти, начиная с версии 6.1; - Реализация при помощи Xen и DRAKVUF. Читать статью [14 min]. #Linux #RE #kernel