大家好，我是 JackTian。

上次跟大家分享了一个《神器工具：新一代多系统启动 U 盘装机解决方案》这篇文章发出后，当天阅读量突破 2000，截止目前在看：64 个，留言：20 条，赞赏：7 个，被转载：5次，通过这一数据来看，阅读数已经是我平时的好几倍了，这并不算什么。

更重要的是，得到了很多读者朋友们的认可，他们就在当天纷纷地去尝试这款神奇的装机工具，分分钟秒杀传统的大白菜，我相信大家用了它，会更让你爱不释手，大大的提高了我们装机时的工作效率。

那么，就有朋友留言说了，杰哥能不能分享下现有 Linux 操作系统刻录成 ISO 文件的教程呀，看上去这个问题很简单。虽然我之前并没有实践过这块，也趁此机会学习下并分享给大家。

今天就跟大家分享下这款神奇的开源免费故障恢复和备份工具 —— Mondo Rescue。

什么是 Mondo Rescue？

Mondo Rescue（简称 Mondo）：是一款开源免费的故障恢复和备份工具，可以说是 Linux 操作系统下的 Ghost ，你可以轻松地创建系统（Linux 或 Windows）克隆或备份的 ISO 镜像，可以将这些镜像存放在 CD、DVD、磁带、USB 设备、硬盘和 NFS 上。

万一数据丢失了，你将能够可以从备份介质还原系统所有数据或根据实际需求还原所有数据。除此之外，Mondo Rescue 还可用来快速恢复或者重新部署工作镜像到其他系统中。

Mondo 支持 LVM 1/2、RAID、ext 2/3/4、JFS、XFS、ReiserFS、VFAT 等，并且可以轻松支持其他文件系统，支持软件 RAID 和大多数硬件 RAID 控制器，支持磁盘几何形状的调整，包括从非 RAID 到 RAID 的迁移。支持 BIOS 和 UEFI 引导模式。

Mondo 在所有主要的 Linux 发行版（Fedora、RHEL、OpenSUSE、SLES、Mageia、Debian、Ubuntu、Gentoo）上运行，可使用它来备份非 Linux 分区，例如：NTFS。

安装

1、下载安装包

你可以根据你的实际系统类型自行去官网下载，由于会有很多依赖关系，也可以通过 yum 的形式安装。

# wget ftp://ftp.mondorescue.org/rhel/6/x86_64/mondorescue.repo

进入/etc/yum.repos.d/目录中操作，如在其他目录操作可能会起不到作用。

# yum install -y mondo

yum 安装过程中，可能会出现如下问题。

"warning: rpmts_HdrFromFdno: Header V3 RSA/SHA256 Signature, key ID fd431d51: NOKEY

解决办法：

# cd /etc/pki/rpm-gpg/
# wget http://mirrors.163.com/centos/RPM-GPG-KEY-CentOS-6
# rpm --import /etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-6

使用 CentOS 时，会出现如下错误：

warning: rpmts_HdrFromFdno: Header V4 DSA/SHA1 Signature, key ID XXXXXX: NOKEY

解决办法：

加上"--nogpgcheck"参数

就是在你要执行的语句后面加上该参数即可；

# yum install -y mondo --nogpgcheck

制作镜像

安装完毕后，以 root 为身份用户，在终端下输入mondoarchive，即可进入图形操作界面。

# mondoarchive
See /var/log/mondoarchive.log for details of backup run.
Checking sanity of your Linux distribution
.......

备份到什么介质

选择Hard disk备份ISO镜像到硬盘

备份位置选择

输入备份 ISO 镜像所在目录的完整路径名或默认。

压缩类型选择

建议选择 gzip ，压缩率大。

压缩率选择

压缩选项选择 Maximum（9）

选择每个镜像大小

输入你所想要的每个 ISO 镜像的大小，并以MB（兆字节）为单位。

该数值应当小于等于 CD-R(W)（700）或 DVD（4480）的容量。这里默认即可。

制定镜像名称

制定 ISO 镜像文件名，例如默认的 mondorescue，也可自定义或默认。

选择要备份的目录

输入你所要备份的文件目录，默认为根目录要备份全系统（默认即可）。

排除不需要备份的目录

排除不备份的文件系统并以|分隔。

一般来说有一些文件是不需要的，是可以排除掉的，而如果想要完整地备份你的操作系统，直接默认回车。

选择临时目录路径

输入临时目录路径，选择默认路径即可。

选择暂存目录路径

输入暂存目录路径，选择默认路径即可。

选择是否备份扩展的属性

选择备份扩展的属性，选择 yes。

备份机器的内核

默认直接选择 OK 回车即可。

验证备份文件

如要验证你的备份文件，在 Mondo 创建备份文件之后，选择 “Yes” 即可。

到这步骤之后软件会自动去备份（创建“/”文件系统目录、文件列表划分为集合、调用 MINDI、创建 boot+data 磁盘、备份文件系统、备份大文件、运行 mkisofs、创建 ISO 镜像文件、验证 ISO 镜像的压缩包、验证 ISO 镜像的大文件等）执行过程中无需人工交互操作。

最后，mondo archive 已经结束了它的运行，归档完成，选择 OK 回车键返回到shell 提示符界面中。

这时我们回到/var/cache/mondo/目录下验证是否有一个 ISO 镜像文件。

# cd /var/cache/mondo/
# ls
difflevel.0  mondorescue-1.iso

到这步后，你就可以将备份镜像刻录到 CD/DVD 中了，便于以后恢复系统使用，可以用 Mondo 生成的 ISO 镜像引导操作系统，在引导提示符界面中选择“（手动输入）nuke”类型，恢复文件。

以上为 CentOS 为例，下面简单的以 Ubuntu 操作系统为例，可以使用remastersys和remastersys-gui工具。

Remastersys 可以将你安装的 Ubuntu、Debian 及其衍生版打包成一个可以用来安装的 Live CD/DVD 的 ISO 镜像文件，可打包一个包含个人数据的 ISO 镜像文件作为操作系统备份，也可以打包一个不包含个人数据的 ISO 镜像文件发布给其他人安装。

Remastersys 包下载

$ mkdir tools
$ cd tools/
$ wget ftp://ftp.gwdg.de/pub/linux/easyvdr/mirror/remastersys/ubuntu/remastersys/remastersys_3.0.4-2_all.deb 
$ wget ftp://ftp.gwdg.de/pub/linux/easyvdr/mirror/remastersys/ubuntu/remastersys-gui/remastersys-gui_3.0.4-1_amd64.deb

安装 Remastersys 依赖

$ sudo apt-get install syslinux-utils isolinux squashfs-tools casper libdebian-installer4 ubiquity-frontend-debconf user-setup discover xresprobe systemd

安装 Remastersys-gui 依赖

$ sudo apt-get install libvte-common libvte9 plymouth-x11

开始安装 Remastersys

$ cd tools/
$ sudo dpkg -i remastersys_3.0.4-2_all.deb
$ sudo dpkg -i remastersys-gui_3.0.4-1_amd64.deb

Remastersys 备份操作系统

命令行模式：

$ sudo remastersys backup

图形化模式：

$ sudo remastersys-gui

Reference

[1] http://www.mondorescue.org/
[2] https://www.iteye.com/blog/haiwei2009-2083177
[3] https://www.cnblogs.com/winstom/p/9675891.html
[4] https://blog.csdn.net/weixin_41078837/article/details/80575920
[5] https://blog.csdn.net/dearfinance/article/details/72722168?utm_source=blogxgwz0
[6] https://blog.csdn.net/u012209894/article/details/52983062

原创不易，码字不易。 觉得这篇文章对你有点用的话，麻烦你为本文点个赞，或转发一下，因为这将是我输出更多优质文章的动力，感谢！

⬇⬇⬇⬇⬇⬇⬇⬇

1、Mondo Rescue是一个开源免费的故障恢复和备份工具，用户可以轻松地创建系统（Linux或Windows）克隆或备份的ISO镜像，可以将这些镜像存放在CD、DVD、磁带、USB设备、硬盘和NFS上。Mondo Rescue还可以用来快速恢复或者重新部署工作镜像到其他系统中，万一碰到数据丢失，你还可以从备份介质恢复尽可能完整的系统数据。

Mondo Rescue（以下简称Mondo）可以说是Linux 下的Ghost，它可以将你的系统照相一样备份至磁带，CD-R，CD-RW，NFS或硬盘分区。Mondo广泛支持LVM、RAID、ext2、ext3、JFS、XFS、ReiserFS、VFAT等。这个软件可以让大家一步一步地将Linux系统备份出来，一旦今后出了问题，只要用创建好的MondoCD将系统还原至上次备份时的状态即可。架构：Mondo Rescue由Mondo和Mindi两个包组成。Mondo是主程序用来备份和还原。Mindi则类似一个迷你的Linux，它包括核心，模块，函数库及一些做系统维护的重要工具。目前，Mondo已经支持Asianux 2/3系统平台。

Mondo rescue 支持 各版本linux系统，本文档只在centos和redhat这俩个linux版本里做过实验，这俩个版本也是当下比较用的普遍的
mondo需要联网下载，请注意！！！
[root@node1]# cd /etc/yum.repos.d/
[root@node1 yum.repos.d]# wget ftp://ftp.mondorescue.org/rhel/6/x86_64/mondorescue.repo
[root@node1 yum.repos.d]# yum -y install mondo --nogpgcheck
[root@node1 yum.repos.d]# mondoarchive —运行mondo工具
需要注意:
分区有要求：
不要有swap分区可以恢复完以后进入操作系统进行创建，到后期恢复时会有报错导致恢复不成功。
1、备份什么样的介质
选择Hard disk备份ISO镜像

2、备份文件的默认路径，这边默认即可，但是你要记住要

3、选择压缩类型，选gzip最大压缩方式

4、选择要压缩的比例我们这里选择最大压缩

5、选择每个镜像大小
键入你想要的每个ISO镜像的大小，以MB（兆字节）为单位。这个数值应当小于等于CD-R(W)（700）或DVD（4480）的容量。默认即可。默认正好是dvd容量 如下图：默认即可

6、制定镜像名称
这里我们默认即可，可以随便定义哦

7、选择要备份的目录
默认是 / 目录要备份全系统

8、选择要排除备份的目录
可以按提示自行添加 | 分割，也可以不用默认敲回车

9、选择临时目录路径
这里我们选择默认默认路径就OK

10、选择暂存目录
也是按系统选择默认

11、选择是否备份扩展的属性
选择备份扩展的属性，选择yes

12、备份机器的内核
备份机器的内核，选择默认就可以，直接选择ok回车即可

13、验证备份文件
如果你想要验证你的备份文件，那么在Mondo创建备份文件之后，点击“Yes”

14、选择默认yes

15、下面就等到系统备份吧
16、mondo工具备份系统镜像完成

17、到刚才默认备份的路径下/var/cache/mondo/找到备份好的iso镜像文件

18、用xftp工具吧备份下来的iso文件拷贝到windos桌面上
用这个工具进行刻录到光盘上，用于以后恢复系统


19、恢复镜像过程
输入nuke即可自动恢复备份的镜像系统了

制作Linux内存镜像+制作对应的volatility profile

制作Linux内存镜像

工具有很多，我这里用lmg
理论上lmg可以把linux内存文件（memory.lime），volatility profile一次性全整出来，但是我不知道为什么报错了
只打内存镜像用LIME就可以了

lmg安装

Lmg：https://github.com/halpomeranz/lmg  脚本主程序
avml：https://github.com/microsoft/avml/releases/tag/v0.3.0（可直接下载二进制文件） Linux的便携式内存采集工具
LiME：https://github.com/504ensicsLabs/LiME

1.在lmg里面建一个新的文件夹imgg，将需要的文件放进去

2.修改avml二进制文件名

mv avml avml-$(uname -m)
mv avml-convert avml-convert-$(uname -m)

添加执行权限

chmod +x avml-convert-x86_64

3.进入到LiME/src目录

patch < ../../../../lmg/lime-Makefile.patch

需要先安装patch

apt-get install patch

4.使用lmg
安装完成，可以使用二进制文件lmg来转储Linux系统内存

./lmg -y

保存路径在当前目录下capture文件下

我profile.zip没做出来

Whatever directory name is used, the directory will contain:

   <hostname>-YYYY-MM-DD_hh.mm.ss-memory.lime  -- the RAM capture
   <hostname>-YYYY-MM-DD_hh.mm.ss-profile.zip  -- Volatility(TM) profile
   <hostname>-YYYY-MM-DD_hh.mm.ss-bash         -- copy of target's /bin/bash
   volatilityrc                                -- prototype Volatility config file

制作volatility profile

首先要安装dwarfdump(调试文件导出工具)&GCC/Make()&KernelHeaders(待分析系统的内核头文件)

sudo apt-get install dwarfdump 
sudo apt-get install build-essential 

KernelHeaders可以根据uname -r得到内核版本，不过这个我没有安装

linux-header-`uname -r`

1.创建vtypes

vtypes是内核数据结构，为创建该数据结构，我们需要检查我们的源码并针对我们要分析的系统内核编译module.c文件，这将会为我们生成一个名为module.dwarf文件，该文件包含了我们所需的内核调试信息。

cd volatility/tools/linux
make

2.获取符号表

一般我们可以在/boot目录下找到该System.map文件。该文件包含系统的符号信息。

3.制作用户配置文件

将moudle.dwarf以及system.map文件打包成一个zip文件，放在volatility/plugins/overlays/linux下。

sudo zip ./volatility/plugins/overlays/linux/Ubuntu.zip ./tools/linux/module.dwarf /boot/System.map-`uname -r`

使用profile

放在volatility/plugins/overlays/linux下之后查看info

root@volatility-master# python vol.py --info|grep Linux
Volatility Foundation Volatility Framework 2.6.1
LinuxUbuntux64    - A Profile for Linux Ubuntu1404 x64
LinuxAMD64PagedMemory          - Linux-specific AMD 64-bit address space.
linux_aslr_shift           - Automatically detect the Linux ASLR shift
linux_banner               - Prints the Linux banner information
linux_yarascan             - A shell in the Linux memory image   

LinuxUbuntux64 即是我们新加的profile

python vol.py -f "memory.lime" --profile=LinuxUbuntux64 linux_banner

volatility取证Linux命令

vol官方命令文档：https://github.com/volatilityfoundation/volatility/wiki/Linux-Command-Reference

volatility.exe --info|grep linux 可以看到所有命令，具体使用可以翻官方文档

linux_apihooks             - Checks for userland apihooks                                                                                                                                                                                                          
linux_arp                  - Print the ARP table                                                                                                                                                                                                                   
linux_aslr_shift           - Automatically detect the Linux ASLR shift                                                                                                                                                                                             
linux_banner               - Prints the Linux banner information                                                                                                                                                                                                   
linux_bash                 - Recover bash history from bash process memory                                                                                                                                                                                         
linux_bash_env             - Recover a process dynamic environment variables                                                                                                                                                                                      
linux_bash_hash            - Recover bash hash table from bash process memory                                                                                                                                                                                      
linux_check_afinfo         - Verifies the operation function pointers of network protocols                                                                                                                                                                         
linux_check_creds          - Checks if any processes are sharing credential structures                                                                                                                                                                             
linux_check_evt_arm        - Checks the Exception Vector Table to look for syscall table hooking                                                                                                                                                                   
linux_check_fop            - Check file operation structures for rootkit modifications                                                                                                                                                                             
linux_check_idt            - Checks if the IDT has been altered                                                                                                                                                                                                    
linux_check_inline_kernel  - Check for inline kernel hooks                                                                                                                                                                                                         
linux_check_modules        - Compares module list to sysfs info, if available                                                                                                                                                                                      
linux_check_syscall        - Checks if the system call table has been altered                                                                                                                                                                                      
linux_check_syscall_arm    - Checks if the system call table has been altered                                                                                                                                                                                      
linux_check_tty            - Checks tty devices for hooks                                                                                                                                                                                                          
linux_cpuinfo              - Prints info about each active processor                                                                                                                                                                                               
linux_dentry_cache         - Gather files from the dentry cache                                                                                                                                                                                                    
linux_dmesg                - Gather dmesg buffer                                                                                                                                                                                                                   
linux_dump_map             - Writes selected memory mappings to disk                                                                                                                                                                                               
linux_dynamic_env          - Recover a process dynamic environment variables                                                                                                                                                                                      
linux_elfs                 - Find ELF binaries in process mappings                                                                                                                                                                                                 
linux_enumerate_files      - Lists files referenced by the filesystem cache                                                                                                                                                                                        
linux_find_file            - Lists and recovers files from memory                                                                                                                                                                                                  
linux_getcwd               - Lists current working directory of each process                                                                                                                                                                                       
linux_hidden_modules       - Carves memory to find hidden kernel modules                                                                                                                                                                                           
linux_ifconfig             - Gathers active interfaces                                                                                                                                                                                                             
linux_info_regs            - It's like 'info registers' in GDB. It prints out all the                                                                                                                                                                              
linux_iomem                - Provides output similar to /proc/iomem                                                                                                                                                                                                
linux_kernel_opened_files  - Lists files that are opened from within the kernel                                                                                                                                                                                    
linux_keyboard_notifiers   - Parses the keyboard notifier call chain                                                                                                                                                                                               
linux_ldrmodules           - Compares the output of proc maps with the list of libraries from libdl                                                                                                                                                                
linux_library_list         - Lists libraries loaded into a process                                                                                                                                                                                                 
linux_librarydump          - Dumps shared libraries in process memory to disk                                                                                                                                                                                      
linux_list_raw             - List applications with promiscuous sockets                                                                                                                                                                                            
linux_lsmod                - Gather loaded kernel modules                                                                                                                                                                                                          
linux_lsof                 - Lists file descriptors and their path                                                                                                                                                                                                 
linux_malfind              - Looks for suspicious process mappings                                                                                                                                                                                                 
linux_memmap               - Dumps the memory map for linux tasks                                                                                                                                                                                                  
linux_moddump              - Extract loaded kernel modules                                                                                                                                                                                                         
linux_mount                - Gather mounted fs/devices                                                                                                                                                                                                             
linux_mount_cache          - Gather mounted fs/devices from kmem_cache                                                                                                                                                                                             
linux_netfilter            - Lists Netfilter hooks                                                                                                                                                                                                                 
linux_netscan              - Carves for network connection structures                                                                                                                                                                                              
linux_netstat              - Lists open sockets                                                                                                                                                                                                                    
linux_pidhashtable         - Enumerates processes through the PID hash table                                                                                                                                                                                       
linux_pkt_queues           - Writes per-process packet queues out to disk                                                                                                                                                                                          
linux_plthook              - Scan ELF binaries' PLT for hooks to non-NEEDED images                                                                                                                                                                                 
linux_proc_maps            - Gathers process memory maps                                                                                                                                                                                                           
linux_proc_maps_rb         - Gathers process maps for linux through the mappings red-black tree                                                                                                                                                                    
linux_procdump             - Dumps a process's executable image to disk                                                                                                                                                                                            
linux_process_hollow       - Checks for signs of process hollowing                                                                                                                                                                                                 
linux_psaux                - Gathers processes along with full command line and start time                                                                                                                                                                         
linux_psenv                - Gathers processes along with their static environment variables                                                                                                                                                                       
linux_pslist               - Gather active tasks by walking the task_struct->task list                                                                                                                                                                             
linux_pslist_cache         - Gather tasks from the kmem_cache                                                                                                                                                                                                      
linux_psscan               - Scan physical memory for processes                                                                                                                                                                                                    
linux_pstree               - Shows the parent/child relationship between processes                                                                                                                                                                                 
linux_psxview              - Find hidden processes with various process listings                                                                                                                                                                                   
linux_recover_filesystem   - Recovers the entire cached file system from memory                                                                                                                                                                                    
linux_route_cache          - Recovers the routing cache from memory                                                                                                                                                                                                
linux_sk_buff_cache        - Recovers packets from the sk_buff kmem_cache                                                                                                                                                                                          
linux_slabinfo             - Mimics /proc/slabinfo on a running machine                                                                                                                                                                                            
linux_strings              - Match physical offsets to virtual addresses (may take a while, VERY verbose)                                                                                                                                                          
linux_threads              - Prints threads of processes                                                                                                                                                                                                           
linux_tmpfs                - Recovers tmpfs filesystems from memory                                                                                                                                                                                                
linux_truecrypt_passphrase - Recovers cached Truecrypt passphrases                                                                                                                                                                                                 
linux_vma_cache            - Gather VMAs from the vm_area_struct cache                                                                                                                                                                                             
linux_volshell             - Shell in the memory image                                                                                                                                                                                                             
linux_yarascan             - A shell in the Linux memory image                                                                                                                                                                                                                                                                                                                                                                                                                                                                

参考文章：
https://r0fus0d.blog.ffffffff0x.com/post/memory_forensics/#linux（这个大佬写得很详细）
https://www.ofweek.com/ai/2021-03/ART-201721-11000-30488537_3.html
https://linux.cn/article-13425-1.html