内存取证-没有debuginfo时如何解决符号表的难题
任何曾经做过Linux内存取证的人都面临过这种场景：没有与内存镜像对应特定内核版本相匹配的调试符号，就寸步难行。各大云厂商（hyperscaler）在开源Linux内核 + 用户态组件的基础上，针对自家云基础设施进行深度定制和优化的Linux发行版（Linux Distribution）。这些发行版往往自带定制内核，而且还没有找到对应的debuginfo下载途径，面对这种场景会非常痛苦。
并且这些符号通常不会安装在生产系统上，必须从外部存储库获取，而当系统更新时，这些符号很快就会过时。如果你曾经尝试分析内存转储，却发现没有人发布该特定内核构建的符号，就会明白这种感觉。
阅读更多