Praktický příklad vytvoření obrazu operační paměti systému MacOS pomocí nástroje Mac Memory Reader.
$ sudo ./MacMemoryReader - | split -b 2048m - /Volumes/STORAGE/pamet_jablka.mach-o` Password: Dumping memory regions: available 0000000000000000 (568.00 KB) [WRITTEN] ACPI_NVS 000000000008f000 (4.00 KB) [WRITTEN] available 0000000000090000 (64.00 KB) [WRITTEN] LoaderData 0000000000100000 (60.00 KB) [WRITTEN] available 000000000010f000 (964.00 KB) [WRITTEN] LoaderData 0000000000200000 (33.77 MB) [WRITTEN] RT_data 00000000023c5000 (124.00 KB) [WRITTEN] ... available 000000008b7ff000 (4.00 KB) [WRITTEN] available 0000000100000000 (5.75 GB) [WRITTEN] Reported physical memory: 8589934592 bytes (8.00 GB) Statistics for each physical memory segment type: reserved: 5 segments, 44212224 bytes (42.16 MB) -- assigned to unreadable device LoaderCode: 2 segments, 200704 bytes (196.00 KB) -- WRITTEN LoaderData: 3 segments, 35655680 bytes (34.00 MB) -- WRITTEN BS_code: 69 segments, 1970176 bytes (1.88 MB) -- WRITTEN BS_data: 73 segments, 41263104 bytes (39.35 MB) -- WRITTEN RT_code: 1 segment, 172032 bytes (168.00 KB) -- WRITTEN RT_data: 2 segments, 131072 bytes (128.00 KB) -- WRITTEN available: 16 segments, 8433991680 bytes (7.85 GB) -- WRITTEN ACPI_recl: 1 segment, 106496 bytes (104.00 KB) -- WRITTEN ACPI_NVS: 2 segments, 512000 bytes (500.00 KB) -- WRITTEN MemMapIO: 3 segments, 167936 bytes (164.00 KB) -- assigned to unreadable device Total memory written: 8514002944 bytes (7.93 GB) Total memory assigned to unreadable devices (not written): 44380160 bytes (42.32 MB) Reported memory not in the physical memory map: 31551488 bytes (30.09 MB)
/Volumes/STORAGE/pamet_jablka.mach-oaa (2.15GB) /Volumes/STORAGE/pamet_jablka.mach-oab (2.15GB) /Volumes/STORAGE/pamet_jablka.mach-oac (2.15GB) /Volumes/STORAGE/pamet_jablka.mach-oad (2.07GB)
Jejich spojením (v abecedním pořadí a na souborovém systému zvládajícím takto velký soubor) pak vznikne obraz celé paměti, vlastní složení není třeba provádět, to už obstarají pracovníci forenzní laboratoře.
CESNET, z. s. p. o.
Generála Píky 26
160 00 Praha 6
Tel: +420 234 680 222
Fax: +420 224 320 269
info@cesnet.cz
Tel: +420 234 680 222
GSM: +420 602 252 531
Fax: +420 224 313 211
support@cesnet.cz