LiME Memory Image
| Format | LiME Memory Image |
|---|---|
| Kurzname | LiME |
| Kategorie | Speicher |
| Plattformen | Linux, Android |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-05 |
Forensische Relevanz
Physischer Arbeitsspeicher, mit dem Kernelmodul LiME von Linux- und Android-Geräten gesichert; auch AVML von Microsoft schreibt dieses Format. Im Format 'lime' steht vor jedem gesicherten Speicherbereich ein 32-Byte-Header mit Magic, Version sowie physischer Start- und Endadresse; Lücken zwischen Bereichen werden nicht gespeichert. Das Format 'padded' füllt Lücken mit Nullen, das Format 'raw' hängt die Bereiche ohne Header aneinander, wodurch die Information über physische Adressen verloren geht. AVML kann zusätzlich eine Snappy-komprimierte Variante mit 'AVML'-Bereichs-Headern schreiben.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | 45 4D 69 4C | EMiL | Magic des Bereichs-Headers 0x4C694D45 (Little-Endian 'EMiL') |
| Offset 0 (0x0) | 41 56 4D 4C | AVML | Magic des komprimierten AVML-Bereichs-Headers 0x4C4D5641 (Little-Endian 'AVML', Version 2) |
Bekannte Dateiendungen
.lime
Referenzen
- LiME — Linux Memory Extractor https://github.com/jtsylve/LiME
- AVML — Acquire Volatile Memory for Linux (Microsoft) https://github.com/microsoft/avml
Diesen Eintrag zitieren
Crush-Format-Referenz, „LiME Memory Image“. https://kalink0.github.io/crush-forensics/formats/de/lime/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden