Linux操作系统内存分析原理

tech OS 内存取证

Table of Contents

Linux操作系统关键组件 Link to Linux操作系统关键组件

Linux内存管理 Link to Linux内存管理

内核对一致(UMA)和非一致内存访问系统(NUMA)使用相同的数据结构.

内存划分为节点,每个节点关联到系统中的一个处理器

(NUMA内存架构)

Linux地址转换 Link to Linux地址转换

前面第二章我们提到了,虚拟地址到物理地址依赖于地址转换.以四级页表为例,虚拟地址分为5个部分:

PGD
PUD
PMD
PTE
OFFSET

虚拟内存地址分解

各级页目录/页表所能存储的指针数目，可以通过宏定义确定。

PTRS_PER_PTE、PTRS_PER_PMD、PTRS_PER_PUD、PTRS_PER_PGD分别对应页目录项、页中间目录、页上层目录、页全局目录中项的个数。两级页表的体系结构会将PTRS_PER_PMD和PTRS_PER_PUD定义为1。

在对Linux内存分析时,就需要将虚拟地址转换为物理地址.

内核空间的地址转换正如我在链接过程中学过的,程序有链接过程中需要一个符号表,保存着符号与虚拟地址的对应关系,内核的符号也有与虚拟地址的对应关系,这个文件在内核编译时产生,大多位于/boot/System.map.
在32位系统,内核符号swapper_pg_dir的值就是目录表基址DTB的值;在64位系统,内核符号init_level4_pgt的值就是DTB.
在32 bit系统下，将DTB的虚拟地址减去0xc0000000即可获取到DTB的物理地址；在64 bit系统下，将DTB的虚拟地址减去0xffffffff80000000即可获取到DTB的物理地址.
进程空间的地址转换对于进程空间地址转换的问题,需要获取目标进程页目录指针的值.

内核维护着进程相关的结构体,进程页目录指针的值可以通过 task_struct -> mm -> pgd 获取到

task_struct和mm_struct结构体关系

系统内核符号表 Link to 系统内核符号表

SHELL

cat /proc/kallsyms | tail -n +0 | head -n 100

可以查看当前环境下导出的内核符号

中间的字母表示符号表类型

B:该符号来自未初始化bss段
D:该符号位于初始化数据段
G:初始化数据段,专门对应小的数据对象
I:其他符号的间接引用
N:调试符号
R:只读代码段符号
S:BSS段符号
T:代码段符号

内核符号表可以通过以下方式获取:

复制/proc/kallsysms或者System.map System.map包含了内核映像中的符号表，由./scripts/kallsyms.c在编译内核时生成；/proc/kallsyms则包含kernel image和所有动态加载模块的符号表，由./kernel/kallsyms.c在内核启动时生成。
内核将System.map内容置于内核可执行文件中，可以通过以下命令提取出来

SHELL

1
2
3

./scripts/extract-vmlinux/tmp/vmlinuz-3.13.0-63-generic >/tmp/vmlinuz-3.13.0-63-generic.elf 
readelf -Wa /tmp/vmlinuz-3.13.0-63-generic.elf 
objcopy -j ksymtab_strings -O binary /tmp/vmlinuz-3.13.0-63-generic.elf vmlinux.bin- ksymtab_strings