[port139ml:05223] Re: Forensic Analysis of a Live Linux System, Part Two

[SAKIYAMA Nobuo <sakichan@xxxxxxxxxxxx>]

At Thu, 15 Apr 2004 10:28:53 +0900,
Hideaki Ihara wrote:
> 
> Port139 伊原です。
> 
> ということで？パート２が出てるそうです。
> 
> Forensic Analysis of a Live Linux System, Part Two 
> http://www.securityfocus.com/infocus/1773
> 
> 事前に情報を正しく取得できているかによるとは思いますが、
> gdb 使うとメモリに関しても電源断後に色々わかるんですかね？

メモリイメージを kcore として吐かせたらそれをgdb で解析できます、とい
う話ですね。但し、kcore をソフトで吐かせるとなると、それでもちろんメモ
リが書きかわるということも述べられています。

最近のマシンでメモリイメージをきれいに取得するには、IEEE1394を使うのが
有効です。

http://people.freebsd.org/~simokawa/firewire/
の
5. FireWire for Kernel Hackers

を参照のこと。吸い出すのに使うマシンが FreeBSD でありさえすれば、
target のOSを問わずに dd で吸い出せるはずです。

# なお、そのそこにあるパッチは最近の FreeBSD であればあてなくていいは
# ずです（ということも書いてある）。

まぁ、逆にいえばマシンへの物理的なアクセスで信頼できない状況があるとこ
ろでは IEEE1394 の口は封じておかないといけない場合があるということでも
あるのですが。
-- 
SAKIYAMA Nobuo (崎山 伸夫)  sakichan@xxxxxxxxxxxx