| 查看 | ls -l /proc/<PID>/exe |
|---|---|
| 特征 | 指向 路径后缀 (deleted) |
| 恢复 | cp /proc/<PID>/exe /evidence/ |
| 注意 | 软件升级造成的 deleted 属正常 |
确认并恢复样本
确认并恢复样本
ls -l /proc/1234/exe
readlink /proc/1234/exe
cp /proc/1234/exe /evidence/recovered_1234.bin
sha256sum /evidence/recovered_1234.bin恢复的样本要立即哈希并只读保存；直接运行会污染证据。