[范例]从正在运行的Linux进程中dump出内存内容

参考：
https://colin.guru/index.php?title=Dumping_Ram_From_Running_Linux_Processes

最近看到有个CTF题感觉挺有意思，就是从一个bin中找到一个secret key，然后用来签名session cookies用来怼一个使用go的Web服务器。通常这种类型题的flag都比较直接。可以直接用strings怼这个bin就可以了，然而这次的这个题目中的bin不同，因为有太多杂碎(noise)要过滤了。于是在此我就来展示一下如何用一些基本的Linux命令配合gdb从进程中dump出内存中的信息。
先file一下，

$ file ctf-binctf-bin: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked (uses shared libs), not stripped

发现是64位的Linux可执行文件。
然后strings一下，

$ strings -n 10 ctf-bin | wc | uniq   71085  106643 2081483

发现字符串太多，还是先不看，再研究深一点吧。
然后先运行一下程序，

$ ./ctf-bin

然后再另一个终端找到这个进程的PID

$ ps -elf | grep ctf-bin4 S root       6686   5777  0  80   0 -  8403 -      17:02 pts/0    00:00:00 ./ctf-bin0 S root       6701   6694  0  80   0 -  3179 -      17:02 pts/2    00:00:00 grep ctf-bin

然后cat一下它的内存(太长不看TL;DR)

$ cat /proc/6686/maps00400000-007bd000 r-xp 00000000 08:01 1727726                            /root/ctf/q3ctf/ctf-bin007bd000-00bb9000 r--p 003bd000 08:01 1727726                            /root/ctf/q3ctf/ctf-bin00bb9000-00bdb000 rw-p 007b9000 08:01 1727726                            /root/ctf/q3ctf/ctf-bin00bdb000-00bff000 rw-p 00000000 00:00 0 016b2000-016d3000 rw-p 00000000 00:00 0                                  [heap]c000000000-c000001000 rw-p 00000000 00:00 0 c81fff0000-c820200000 rw-p 00000000 00:00 0 ...

似乎太多了有点可怕，但是不用害怕。
然后启动gdb，将改进程attach到gdb上。

$ gdb attach 6686

然后就是gdb命令

(gdb) dump memory /root/memory.dump 0xc81fff0000 0xc820200000

解释一下语法：
- "dump memory"是命令
- "/root/memory.dump"是我们想保存dump出的内容的路径。
- 两个hex是内存地址区间，这跟/proc/6686/maps的格式有些不一样。这是以0x开头的而且没有连字符。

然后就是用strings命令找出刚才dump出的文件的字符串，我喜欢最少10个长度的字符串(-n 10)来过滤掉一些无用的信息(noise)。
结果如下：

$ strings -n 10 /root/memory.dumpXDG_VTNR=2XDG_SESSION_ID=1SHELL=/bin/bashVTE_VERSION=4201USER=rootSHLVL=1USERNAME=rootLANG=en_US.UTF-8XDG_SEAT=seat0HOME=/rootLOGNAME=root...Thu Feb 4 21:00:57 -0800 2010aBCdEfJ2cPhLzQ2l111oZMHuADgJQVlkAWed Sep 28 17:02:15 EDT 2016Wed Sep 28 17:02:15 EDT 2016 !"#$%&'()*+,-./0123456789:;<=>?@ABCDEFGHIJKLMNOPQRSTUVWXYZ[\]^_`abcdefghijklmnopqrstuvwxyz{|}~ !"#$%&'()*+,-./0123456789:;<=>?@ABCDEFGHIJKLMNOPQRSTUVWXYZ[\]^_`abcdefghijklmnopqrstuvwxyz{|}~Starting scrum-cookies-server on port 9000.Starting scrum-cookies-server on port 9000.Wed Sep 28 17:02:15 EDT 2016 - INFO - main.go:110 - Starting scrum-cookies-server on port 9000.

可以看到好像有个hash值，为了不泄露CTF题的答案，我已经把hash值改了。

总结

好了，你已经找到运行的进程的PID，dump出了那个进程的内存内容，然后用gdb，strings命令找出了有用的数据。

以上翻译自：
https://colin.guru/index.php?title=Dumping_Ram_From_Running_Linux_Processes

---

Let’s get your hands dirty

Down to business

于是我也想试一下啊，然而我想找一个执行命令之后不退出的进程还蛮难的，最终我想到了apache，然而必须要有客户端与apache建立TCP长连接，如果是那种5xx的错误，比如这个，
就会发现TCP连接建立之后马上又断开了。

cqq@snort-ids:/proc$ tcp|grep "172.18.xx.xx"sshd     6502     root    3u  IPv4 138454      0t0  TCP 172.18.yy.yy:22->172.18.xx.xx:64724 (ESTABLISHED)sshd     6524      cqq    3u  IPv4 138454      0t0  TCP 172.18.yy.yy:22->172.18.xx.xx:64724 (ESTABLISHED)apache2 13660 www-data   14u  IPv6 179548      0t0  TCP 172.18.yy.yy:80->172.18.xx.xx:53496 (ESTABLISHED)sshd    18442     root    3u  IPv4 180814      0t0  TCP 172.18.yy.yy:22->172.18.xx.xx:52149 (ESTABLISHED)sshd    18454      cqq    3u  IPv4 180814      0t0  TCP 172.18.yy.yy:22->172.18.xx.xx:52149 (ESTABLISHED)cqq@snort-ids:/proc$ tcp|grep "172.18.xx.xx"sshd     6502     root    3u  IPv4 138454      0t0  TCP 172.18.yy.yy:22->172.18.xx.xx:64724 (ESTABLISHED)sshd     6524      cqq    3u  IPv4 138454      0t0  TCP 172.18.yy.yy:22->172.18.xx.xx:64724 (ESTABLISHED)sshd    18442     root    3u  IPv4 180814      0t0  TCP 172.18.yy.yy:22->172.18.xx.xx:52149 (ESTABLISHED)sshd    18454      cqq    3u  IPv4 180814      0t0  TCP 172.18.yy.yy:22->172.18.xx.xx:52149 (ESTABLISHED)

于是只能弄一个TCP长连接吧。返回200的那种应该可以。
结果发现还是不行。
于是通过htop漫无目的地找吧，于是还是找apache的主进程吧。
通过htop发信apache的主进程的PID为6900，
于是

cqq@snort-ids:/proc$ sudo gdb attach 6900

(注意：要以root的身份启动，否则可能没有权限。)
然后gdb就开始调试6900进程了，一顿输出啊，几秒之后到达gdb的命令行。
然后dump出heap中的内容。

(gdb) dump memory /root/memory.dump 0x557b9000 0x557fb000(gdb) dump memory /root/memory2.dump 0x557fb000 0x559eb000

然后在/root目录找到了那两个dump出来的文件，

-rw-r--r--  1 root root 2.0M May 29 20:55 memory2.dump-rw-r--r--  1 root root 264K May 29 20:54 memory.dump

从任意一个dump中找出10个字符以上的字符串吧。

root@snort-ids:~# strings -n 10 memory.dumplog_config/usr/lib/apache2/modules/mod_authn_file.so/usr/lib/apache2/modules/mod_authz_core.0{U/lib/apache2/modules/mod_authz_host.`}U/lib/apache2/modulesmod_authz_host.sooid_sectionalg_sectionSRVName otherName formid-on-dnsSRVMain threadDEBUG_BACKTRACE_IGNORE_ARGSPHP_CONFIG_FILE_PATHE_RECOVERABLE_ERROR

Done :)