extrair initramfs incorporados

Question

Eu tenho um kernel no qual um initramfs é incorporado. Eu quero extraí-lo.

Eu tenho a saída x86 boot sector quando eu faço file bzImage

Eu tenho o arquivo System.map para esta imagem do kernel.

Existe alguma maneira de extrair a imagem initramfs incorporada deste kernel com ou sem a ajuda do arquivo System.map ?

A string interessante encontrada no arquivo System map é: (Apenas para ajudar)

57312:c17fd8cc T __initramfs_start
57316:c19d7b90 T __initramfs_size

    

Answer 1

Há algumas informações sobre isso no wiki do gentoo: link

Recomenda o uso de binwalk , que funciona muito bem.

Vou dar um rápido passo a passo com um exemplo:

primeiro extraia o arquivo bzImage com o binwalk:

> binwalk --extract bzImage
DECIMAL       HEXADECIMAL     DESCRIPTION
--------------------------------------------------------------------------------
0             0x0             Microsoft executable, portable (PE)
18356         0x47B4          xz compressed data
9772088       0x951C38        xz compressed data

Acabei com três arquivos: 47B4 , 47B4.xz e 951C38.xz

> file 47B4
47B4: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), statically linked, BuildID[sha1]=aa47c6853b19e9242401db60d6ce12fe84814020, stripped

Agora vamos executar o binwalk novamente em 47B4 :

> binwalk --extract 47B4
DECIMAL       HEXADECIMAL     DESCRIPTION
--------------------------------------------------------------------------------
0             0x0             ELF, 64-bit LSB executable, AMD x86-64, version 1 (SYSV)
9818304       0x95D0C0        Linux kernel version "4.4.6-gentoo (root@host) (gcc version 4.9.3 (Gentoo Hardened 4.9.3 p1.5, pie-0.6.4) ) #1 SMP Tue Apr 12 14:55:10 CEST 2016"
9977288       0x983DC8        gzip compressed data, maximum compression, from Unix, NULL date (1970-01-01 00:00:00)
<snip>

Isso voltou com uma longa lista de caminhos encontrados e vários arquivos potencialmente interessantes. Vamos dar uma olhada.

> file _47B4.extracted/*
<snip>
_47B4.extracted/E9B348:     ASCII cpio archive (SVR4 with no CRC)

arquivo E9B348 é um arquivo cpio (já descompactado), exatamente o que estamos procurando! Bingo!

Para descompactar o arquivo compactado do cpio (seu initramfs!) no diretório atual, execute

> cpio -i < E9B348

Isso foi quase fácil demais. binwalk é absolutamente a ferramenta que você está procurando. Para referência, eu estava usando v2.1.1 aqui.

    

Answer 2

Até onde eu sei, o arquivo initpcio cpio está apenas ligado ao kernel.

Por isso, isso deve funcionar:

1. use dd para extrair o intervalo entre c17fd8cc e c19d7b90
2. descompacte os dados resultantes usando um descompactador de CPIO.