On récupère un instantané d'une grande partie de la mémoire de l'ensemble des processus qui tournaient sur l'ordinateur juste avant le redémarrage.
C'est possible uniquement en root, toutes les allocations de processus se font sur des pages remplies de 0 (dans le kernel, la libc peut réutiliser des allocations au sein d'un même processus).
Ce n'est pas possible d'obtenir de la mémoire non-initialisé du kernel (ce serait une "information leak" très grave).
Tu peux regarder le code, par exemple do_brk() (pour faire grossir le tas), appelle bien kmem_cache_zalloc(), de même pour mmap() (l'autre façon de faire grossir le tas). http://lxr.linux.no/linux+v2.6.26.3/mm/mmap.c
La seule façon d'obtenir l'ancien état de la mémoire est soit d'être root (et de lire /dev/mem) soit de modifier l'OS (ce qu'il vaut mieux faire pour minimiser la réecriture de la mémoire).
[^] # Re: Beaucoup de bruit pour rien
Posté par ribwund . En réponse au journal Ubuntu pas très sécurisée.... Évalué à 2.
C'est possible uniquement en root, toutes les allocations de processus se font sur des pages remplies de 0 (dans le kernel, la libc peut réutiliser des allocations au sein d'un même processus).
Ce n'est pas possible d'obtenir de la mémoire non-initialisé du kernel (ce serait une "information leak" très grave).
Tu peux regarder le code, par exemple do_brk() (pour faire grossir le tas), appelle bien kmem_cache_zalloc(), de même pour mmap() (l'autre façon de faire grossir le tas).
http://lxr.linux.no/linux+v2.6.26.3/mm/mmap.c
La seule façon d'obtenir l'ancien état de la mémoire est soit d'être root (et de lire /dev/mem) soit de modifier l'OS (ce qu'il vaut mieux faire pour minimiser la réecriture de la mémoire).