如何成像OS X的内存

Question

所以我正在参加计算机取证课（也希望进入计算机取证，所以练习有帮助）。在我的班上，我们必须做一个研究项目。我在Kali上专门使用RAM取证和Web浏览器取证。我正在尝试使用Volatility来查看我的RAM，但我需要先读取RAM的图像才能读取。有没有人知道在OS X上成像RAM的方法？谢谢你的帮助！

Answer 1

OS X曾经有一个/ dev / mem设备，你可以读取它来读出物理内存，但是它们一段时间后就删除了。 Amit Singh的Mac OS X Internals书中有一节关于实现内核扩展以重新添加该接口。有相同想法的各种开源实现，但我没有直接经验。

Answer 2

我不确切知道FTK Imager可以获得osx ram图像，但你可以尝试一下。 它可以从Windows操作系统获取ram的图像。在我看来，它也从osx系统获得了ram的图像。