linpmem是一款功能强大的linux物理内存提取工具，该工具专为x64 linux设计，可以帮助广大研究人员在执行安全分析过程中快速读取linux物理内存数据。
该工具类似Windows下的Winpmem，Linpmem不是一个传统的内存转储工具，该工具提供了一个API来从任何物理地址读取数据。除此之外，Linpmem还提供了多种读取物理内存的访问模式，例如字节、dward、qward和缓冲区访问模式等，其中缓冲区访问模式适用于大多数情况。
功能介绍
工具下载
广大研究人员可以使用下列命令将该项目源码克隆至本地：
代码语言：javascript代码运行次数：0运行复制<code class="javascript">git clone https://github.com/Velocidex/Linpmem.git工具配置</code>内核驱动器构建
在使用该工具之前，我们必须按照下列步骤手动构建Linpmem驱动器。
第一步：获取正确的Header
我们需要使用到make工具和一个C编译器，这里推荐使用gcc。
确保安装好了linux-headers，具体的包名可能取决于Linux发行版的版本，下列命令可以检查是否已经安装好了linux-headers：
代码语言：javascript代码运行次数：0运行复制<code class="javascript">ls -l /usr/lib/modules/`uname -r`/</code>
第二步：make
切换到项目目录中，并使用下列命令即可完成项目编译：
代码语言：javascript代码运行次数：0运行复制<code class="javascript">cd Linpmemmake</code>
除此之外，你还需要在当前目录下生成linpmem.ko。
linpmem.ko模块可以通过下列命令完成加载：
代码语言：javascript代码运行次数：0运行复制<code class="javascript">insmod path-to-linpmem.ko</code>
或使用下列命令卸载模块：
代码语言：javascript代码运行次数：0运行复制<code class="javascript">rmmod path-to-linpmem.ko</code>
加载之后，为了与Linpmem驱动器交互，我们还需要创建下列服务：
代码语言：javascript代码运行次数：0运行复制<code class="javascript">mknod /dev/linpmem c 42 0工具使用演示</code>演示代码
下面给出的演示代码详细说明了如何与驱动器进行交互，我们可以在“./userspace_interface/linpmem_shared.h”路径下找到用户空间API参考信息：
代码语言：javascript代码运行次数：0运行复制<code class="javascript">cd demogcc -o test test.c(sudo) ./test</code>
请注意，这份代码非常重要！
命令行接口工具代码语言：javascript代码运行次数：0运行复制<code class="javascript">$ ./pmem -hCommand-line client for the linpmem driver Usage: pmem [OPTIONS] [COMMAND] Commands: insmod 加载Linpmem驱动器 help 打印工具帮助信息和退出 Options: -a, --address <ADDRESS> 需要执行物理读取操作的地址 -v, --virt-address <VIRT_ADDRESS> 将地址转换成目标进程的地址空间（默认：当前进程） -s, --size <SIZE> 缓冲区读取操作大小 -m, --mode <MODE> 读取操作所使用的读取模式，可选byte, word, dword, qword, buffer -p, --pid <PID> 目标进程CR3信息 --cr3 查询目标进程的CR3值（默认：当前进程） --verbose 显示调试输出 -h, --help 打印帮助信息 -V, --version 打印工具版本（右滑查看更多）许可证协议</code>
本项目的开发与发布遵循GPL-2.0开源许可证协议。
项目地址
Linpmem：
https://github.com/Velocidex/Linpmem
