[发明专利]一种基于相似内核的手机动态内存提取方法

摘要

本发明涉及一种基于相似内核的手机动态内存提取方法，其步骤：选取相似内核源码；收集目标系统信息；编译内核源代码；在根目录下生成.config文件；构造内核模块；关闭校验机制并重新编译内核；对源代码进行交叉编译；使用LiME工具编译外部模块；将LiME模块上传至目标手机中，使用insmod命令加载模块；在相似内核源码中寻找与__gnu_mcount_nc符号变量具有依赖性关系的函数；向外界导出了__gnu_mcount_nc符号；在相似内核代码中进行内核配置；进入LiME目录，将外部源码路径指定给相似内核代码；在Android终端的SD存储卡内生成dump内存文件，在本地终端使用pull操作将手机中的内存文件取回至本地计算机中。

主权项

1.一种基于相似内核的手机动态内存提取方法，其特征在于包括以下步骤：1)确定待取证的目标Android手机的基本详细信息，选取相似内核源码；2)收集目标系统信息，由vermagic的定义得知需要进行收集的信息，在目标手机系统中使用shell基本命令获取；3)编译内核源代码，在Linux终端中切换至内核源码目录，配置交叉编译工具链；初始化内核配置；4)编译成功后在根目录下生成.config文件，确认配置中是否开启了可装载模块的相关功能，使用gedit编辑.config文件；5)按照目标系统的内核配置信息来构造内核模块，构造与目标系统中一样的vermagic字符串，由收集到的SMP、PREEMPT配置信息，进一步对.config进行配置，将PREEMPT相关配置关闭，使模块与目标系统中的版本控制信息达到一致；6)对于出现模块的modversions校验机制情况时，关闭该校验机制并重新编译内核；7)对源代码进行交叉编译，编译时需要强制对内核版本信息赋值；8)根据编译完成的内核源码，使用LiME工具编译外部模块；9)将使用相似内核构造的LiME模块上传至目标手机中，使用insmod命令加载模块；10)在相似内核源码中寻找与__gnu_mcount_nc符号变量具有依赖性关系的函数；11)当内核配置中启用CONFIG_FUNCTION_TRACER相关选项时，编译内核时就会触发目标系统对该符号的依赖，在内核开启ftrace功能的初始阶段，所有函数都会调用该符号，编译后的内核向外界导出了__gnu_mcount_nc符号；12)在相似内核代码中进行内核配置，将与ftrace有关的内核编译选项关闭，寻找与__gnu_mcount_nc符号有关的配置对内核代码目录进行遍历，分析该函数调用间的关系，找出所有与该符号相关的配置选项；13)进入LiME目录，将外部源码路径指定给相似内核代码，通过SD转储方式，以lime格式提取动态内存；14)提取完成后，在Android终端的SD存储卡内生成dump内存文件，在本地终端使用pull操作将手机中的内存文件取回至本地计算机中。