Linux 取证135 条

kdump 内核转储与 /var/crash

kdump 在内核崩溃时由预留内核导出内存到 /var/crash；这类转储能解释主机重启原因，也提供崩溃时刻的内存镜像。

配置	/etc/kdump.conf
产物	/var/crash/<时间>/vmcore

核查

ls -lt --time-style=long-iso /var/crash/ 2>/dev/null | head
kdumpctl status 2>/dev/null | head -12

vmcore 体积通常与内存规模相当，导出前先确认可用空间。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌