用于取证和应急响应的便携式 Linux 内存采集工具，可捕获与 LiME 兼容的内存镜像，并支持可选压缩与远程流式传输。
一款面向 Linux 的可移植易失性内存采集工具。
AVML 是一款用 Rust 编写的 Linux 用户态易失性内存采集工具，旨在以静态二进制文件的形式部署。AVML 可以在事先不知道目标操作系统发行版或内核的情况下采集内存。无需在目标机上编译或进行指纹识别。
发布版本针对 x86-64、AArch64、ARMv7 小端硬浮点以及兼容旧版 ARMv6 的大端系统构建。ARMv7 采集目前假定内存页大小为 4096 字节。
在产生输出之前，AVML 会验证来源的内存范围并读取其第一个数据块（最多 16 MiB）。如果未指定来源，它会依次尝试 /proc/kcore、/dev/crash、/dev/mem，直到验证成功。选定的来源句柄和缓冲数据块会被保留用于采集。后续的读取或写入失败会终止采集；AVML 在验证之后不会切换来源。
本地采集和转换输出必须尚不存在。AVML 以独占方式创建它们，并拒绝已存在的文件、硬链接和目标符号链接。仅在 Unix 上，恰好 /dev/null 和 /dev/stdout 会以写入方式打开，且不创建或截断。采集失败可能会留下部分本地输出；请使用新路径或在重试前删除该文件。
注意：如果启用了内核特性 kernel_lockdown，AVML 将无法采集内存。
Azure VM 测试矩阵定义在 eng/images.txt 中，目前涵盖：
avml 是一个带有子命令的单一二进制文件。每个子命令都由一个 Cargo 特性控制，因此最小构建只包含你所需的功能：
| 子命令 | 特性 | 默认 | 功能说明 |
|---|---|---|---|
acquire | （始终启用） | 是 | 将内存快照保存到本地文件（之后可选上传）。 |
convert | convert | 是 | 在 AVML / LiME / 原始格式之间转换。 |
upload | upload | 是 | 通过 HTTP PUT 或上传到 Azure Block Blob 上传本地文件。 |
stream | stream | 是 | 将快照直接流式传输到目标位置，不生成本地文件。 |
使用 cargo build --release --no-default-features 构建仅含采集功能的最小二进制文件。
在目标主机上：
avml acquire --compress output.lime.compressed
在目标主机上：
avml acquire output.lime
在具有 az cli 凭据的安全主机上，生成一个 SAS URL。
EXPIRY=$(date -d '1 day' '+%Y-%m-%dT%H:%MZ')
SAS_URL=$(az storage blob generate-sas --account-name ACCOUNT --container CONTAINER test.lime --full-uri --permissions c --output tsv --expiry ${EXPIRY})
在目标主机上，使用生成的 SAS 令牌执行 avml。
avml acquire --sas-url ${SAS_URL} --delete output.lime
对于不希望先将快照写入本地文件的主机（只读根文件系统、磁盘空间有限、取证链监管方面的顾虑），请使用 stream 子命令。它使用与 acquire 相同的源验证和选择机制（传入 --source 可覆盖），并将字节按顺序写入所选目标。源仅在验证阶段尝试，且在任何输出字节发送之前完成。流式传输过程中无法更改源。
avml stream blob ${SAS_URL}
--sas-block-size（MiB）作为下限；如果推导出的最小值更大，则以较大的值为准。--sas-block-concurrency 限制同时进行的 stage_block 调用数量。峰值内存约为 (concurrency + 1) * block_size。在收集器主机上：
nc -l 9000 > snapshot.lime
在目标主机上：
avml stream tcp collector.example.com:9000
avml 只连接一次并顺序写入快照。如果连接在传输中途断开，快照会中止；不支持断点续传。不使用 TLS——如有需要，可配合 SSH 隧道或 stunnel 来保证机密性和完整性。
avml upload put ./output.lime ${URL} # HTTP PUT
avml upload blob ./output.lime ${SAS_URL} # Azure Block Blob
在具有 az cli 凭据的安全主机上，执行以下操作：
config.json：{
"commandToExecute": "./avml acquire --compress --sas-url <GENERATED_SAS_URL> --delete",
"fileUris": ["https://FULL.URL.TO.AVML.example.com/avml"]
}
config.json 执行 customScript 扩展az vm extension set -g RESOURCE_GROUP --vm-name VM_NAME --publisher Microsoft.Azure.Extensions -n customScript --settings config.json
在安全主机上，生成一个 S3 预签名 URL 或生成一个 GCP 预签名 URL。
在目标主机上，使用生成的预签名 URL 执行 avml。
avml acquire --url ${URL} --delete output.lime
avml convert ./compressed.lime ./uncompressed.lime
avml convert --source-format lime --format lime_compressed ./uncompressed.lime ./compressed.lime
A portable volatile memory acquisition tool for Linux
Usage: avml <COMMAND>
Commands:
acquire Acquire a memory snapshot to a local file (and optionally upload it)
convert Convert between AVML and LiME snapshot formats and a raw memory image
upload Upload an already-acquired snapshot file to remote storage
stream Stream a memory snapshot directly to remote storage, without writing it to a local file
help Print this message or the help of the given subcommand(s)
运行 avml <COMMAND> --help 查看各命令的选项。
# 安装 MUSL
sudo apt-get install musl-dev musl-tools musl
# 通过 rustup 安装 Rust
curl https://sh.rustup.rs -sSf | sh -s -- -y
# 为 Rust 添加 MUSL 目标
rustup target add x86_64-unknown-linux-musl
# 构建
cargo build --release --target x86_64-unknown-linux-musl
# 构建不含上传功能的版本
cargo build --release --target x86_64-unknown-linux-musl --no-default-features
ARMv7 硬浮点产物需要 ARM musl 交叉工具链。仓库的构建脚本会创建固定版本的工具链，并构建完整版和最小化的静态二进制文件：
eng/build-armv7.sh
测试脚本将创建、使用并清理若干资源组、虚拟机和存储账户。
az login本项目欢迎贡献和建议。大多数贡献要求你同意一份贡献者许可协议（CLA），声明你有权并且确实授予我们使用你的贡献的权利。详情请访问 https://cla.microsoft.com。
当你提交拉取请求时，CLA-bot 会自动判断你是否需要提供 CLA，并相应地装饰 PR（例如添加标签、评论）。只需按照机器人提供的说明操作即可。在所有使用我们 CLA 的仓库中，你只需执行一次。
本项目已采用 Microsoft 开源行为准则。 更多信息请参阅行为准则常见问题，或通过 [email protected] 联系我们，提出其他问题或意见。
安全问题和缺陷应通过电子邮件私下报告给 Microsoft 安全响应中心（MSRC）：[email protected]。你应在 24 小时内收到回复。如果由于某种原因未收到，请通过电子邮件跟进，以确保我们收到了你的原始消息。更多信息，包括 MSRC PGP 密钥，可在安全技术中心找到。