[发明专利]一种基于相似内核的手机动态内存提取方法

权利要求书

1.一种基于相似内核的手机动态内存提取方法，其特征在于包括以下步骤：

1)确定待取证的目标Android手机的基本详细信息，选取相似内核源码；

2)收集目标系统信息，由vermagic的定义得知需要进行收集的信息，在目标手机系统中使用shell基本命令获取；

3)编译内核源代码，在Linux终端中切换至内核源码目录，配置交叉编译工具链；初始化内核配置；

4)编译成功后在根目录下生成.config文件，确认配置中是否开启了可装载模块的相关功能，使用gedit编辑.config文件；

5)按照目标系统的内核配置信息来构造内核模块，构造与目标系统中一样的vermagic字符串，由收集到的SMP、PREEMPT配置信息，进一步对.config进行配置，将PREEMPT相关配置关闭，使模块与目标系统中的版本控制信息达到一致；

6)对于出现模块的modversions校验机制情况时，关闭该校验机制并重新编译内核；

7)对源代码进行交叉编译，编译时需要强制对内核版本信息赋值；

8)根据编译完成的内核源码，使用LiME工具编译外部模块；

9)将使用相似内核构造的LiME模块上传至目标手机中，使用insmod命令加载模块；

10)在相似内核源码中寻找与__gnu_mcount_nc符号变量具有依赖性关系的函数；

11)当内核配置中启用CONFIG_FUNCTION_TRACER相关选项时，编译内核时就会触发目标系统对该符号的依赖，在内核开启ftrace功能的初始阶段，所有函数都会调用该符号，编译后的内核向外界导出了__gnu_mcount_nc符号；

12)在相似内核代码中进行内核配置，将与ftrace有关的内核编译选项关闭，寻找与__gnu_mcount_nc符号有关的配置对内核代码目录进行遍历，分析该函数调用间的关系，找出所有与该符号相关的配置选项；

13)进入LiME目录，将外部源码路径指定给相似内核代码，通过SD转储方式，以lime格式提取动态内存；

14)提取完成后，在Android终端的SD存储卡内生成dump内存文件，在本地终端使用pull操作将手机中的内存文件取回至本地计算机中。

2.如权利要求1所述的一种基于相似内核的手机动态内存提取方法，其特征在于：所述步骤3)中，根据设备默认的配置文件，在终端下输入以下命令开始配置内核功能：#makearch＝arm m0duosctc_00_defconfig。

3.如权利要求1所述的一种基于相似内核的手机动态内存提取方法，其特征在于：所述步骤5)中，构造内核模块是通过伪造vermagic字符串值的方法实现，是根据目标终端的系统内核配置信息，在编译源码时使用与其一模一样的配置选项，伪造具有目标信息特征的可装载模块，进而欺骗系统对vermagic信息的机制，绕过目标系统的内核校验机制加载目标模块。

4.如权利要求3所述的一种基于相似内核的手机动态内存提取方法，其特征在于：所述内核模块构造过程为：

5.1)指定UTS_RELEASE字段的值，由源码根目录下的Makefile中宏变量KERNELRELEASE设置，在编译时对KERNELRELEASE变量进行强制赋值，编译后的模块信息中就包含强制指定的内核版本信息；

5.2)模块vermagic的其他字段信息与内核配置有关，获取目标系统对应的内核配置信息，在编译前指定具体的功能配置，即能构造功能相近的可装载模块；

5.3)在终端下对根目录下的.config文件进行二次编辑，使得编译后的外部模块具有目标系统相近的功能；

5.4)完成vermagic字符串的构造，模块中的vermagic信息与目标系统中的信息完全一致。