Blink/Blinkenlights 的语义层

采用 Blinkenlights 方法引起了一个问题,如何将物理内存的原始内容可视化为更高级别的对象? 我们可以确定两种经典的观点/用例: A) 从系统/取证的角度来看,没有访问源代码,只能访问像符号、经过检查的构建等系统对象; B) 从开发者的角度来看,有访问源代码的权限。 Volatility 框架 将实现硬币的一面,即解析正在运行的客户机操作系统的内存内容。 硬币的另一面,我们可以找到如下应用程序:

• MemProcFS
• Volatility Explorer Suit
• Volatility Workbench 这里的想法是弥合这些应用程序和 Blinkenlights 之间的差距。 我想应该建立一些设施,以提供 物理地址到虚拟地址 的转换。