lime通过遍历系统ram区域并借助内核页表映射采集物理内存，而非直接裸dump全地址空间；强制dump全范围易触发dabort或panic，尤其在arm64且启用crash kernel的系统上。
LiME 能抓到物理内存，但不是“直接裸 dump 物理地址空间”，而是通过内核页表映射 + 系统 RAM 区域遍历的方式采集；不加判断地强制 dump 全地址范围（比如从 0x0 开始）极易触发 DABORT 或 panic，尤其在 ARM64、启用了 crash kernel 或 memory hotplug 的系统上。
insmod 时 path 和 format 参数必须同时指定且合法
LiME 模块加载失败或静默崩溃，90% 出现在参数缺失或格式错误。它不接受默认值，path 和 format 是硬性要求：
-
path必须是可写的绝对路径（如/tmp/mem.lime），不能是相对路径或设备节点（如/dev/sda） -
format只能是raw、lime或padded三者之一；拼错（如RAW、Raw）会导致模块初始化失败，dmesg里会看到Unknown format错误 - 若想走网络传输，
path要写成tcp:PORT格式（如path=tcp:4444），此时format仍需显式指定
ARM64 下 dump 失败常因访问 crash kernel 保留内存
在 CentOS 7/8、Ubuntu 20.04+ 的 ARM64 虚拟机或真机上，insmod lime.ko path=/root/mem.lime format=raw 极易触发 kernel panic，典型表现是 DABORT 异常 + ESR 显示 PTE bit0=0（无效页表项）。根本原因是 LiME 遍历 System RAM 时未跳过被 crashkernel= 占用的区域（如 /proc/iomem 中标记为 Crash kernel 的段）。
- 先确认是否启用了 kdump：
cat /proc/cmdline | grep crashkernel；若有，查/proc/iomem找出对应物理地址段 - 临时关闭 kdump（仅测试用）：
systemctl stop kdump && echo 0 > /sys/kernel/kexec_crash_size，再试 LiME - 更稳妥的做法：改用
format=lime—— 它只遍历memblock中标记为MEMBLOCK_USABLE的 RAM 区域，天然避开 crash kernel 保留区
编译生成的 lime.ko 必须匹配当前运行内核版本
模块签名、符号表、结构体偏移全部绑定内核 ABI，make 编译出的 lime-5.4.0-91-generic.ko 在 5.4.0-92-generic 上加载会报 Invalid module format 或直接 oops。
- 检查当前内核：
uname -r - 确保编译环境有对应内核头文件：
ls /lib/modules/$(uname -r)/build必须存在且可读 - 编译命令必须进源码
src/目录执行：make KDIR=/lib/modules/$(uname -r)/build，不能只跑make - Android 设备需交叉编译，NDK 工具链和目标内核源码缺一不可；直接复用 x86_64 编译的模块在 ARM64 上会
insmod: ERROR: could not insert module lime.ko: Invalid module format
dump 过程中卡住或输出文件为空的常见原因
不是模块没运行，而是输出路径或权限出了问题 —— LiME 在内核态写文件，不走用户态 open/write 流程，很多错误不会返回给 shell，只记在 dmesg 里。
- 目标路径所在文件系统只读（如挂载了
ro）：dmesg显示Failed to open output file - 路径父目录无写权限（如
/root对普通用户不可写）：dmesg报Permission denied，但insmod返回成功 - 磁盘空间不足或 inodes 耗尽：
dmesg提示No space left on device，文件可能创建为空 - 使用
format=padded时，输出大小 = 最大物理地址 + 1，容易撑爆磁盘（例如 256GB RAM 机器会生成 256GB 文件）；生产环境慎用
真正难的不是“怎么跑起来”，而是判断你拿到的那块 .lime 文件是否覆盖了攻击者驻留的内存区域 —— 它不包含所有物理地址，只包含内核当前认为“可用”的 RAM 块；如果你怀疑恶意代码藏在 firmware-reserved、PCI BAR 或 crash kernel 区域，LiME 本身无法触及，得换 AVML 或直接用 /dev/mem（需 CONFIG_STRICT_DEVMEM=n）配合自定义扫描逻辑。
