內(nèi)存鏡像中文本數(shù)據(jù)提取方法研究.pdf

1、計算機內(nèi)存中保存著很多硬盤上沒有的重要信息，如進程信息、線程信息、網(wǎng)絡(luò)連接信息、賬戶密碼信息等。內(nèi)存取證技術(shù)能夠在很多方面輔助傳統(tǒng)計算機取證，為司法機關(guān)提供支持。現(xiàn)有的內(nèi)存取證技術(shù)大部分是針對系統(tǒng)信息的，如進程的EPROCESS結(jié)構(gòu)，網(wǎng)絡(luò)連接信息，內(nèi)存中殘留的注冊表等，然而針對更重要的用戶數(shù)據(jù)的內(nèi)存取證技術(shù)少之又少。目前公開發(fā)表的中英文的論文中尚沒有從內(nèi)存鏡像中提取用戶的文本數(shù)據(jù)的方法，現(xiàn)有的取證工具也沒有這方面的功能。
　　

2、本文研究的內(nèi)容是從內(nèi)存鏡像中提取當(dāng)前系統(tǒng)正在打開的text文件。為了準確提取當(dāng)前系統(tǒng)所打開的text文件，首先通過實驗對比了大量Windows操作系統(tǒng)的內(nèi)存鏡像，總結(jié)歸納出了Windows XP系統(tǒng)下text文件在內(nèi)存中的存儲標志、大小信息以及text文件在虛擬地址上的存儲規(guī)律;其次研究了現(xiàn)有提取進程EPROCESS結(jié)構(gòu)方法的不足，提出了已關(guān)閉進程EPROCESS結(jié)構(gòu)的提取方法，最后根據(jù)text文件的存儲規(guī)律，從虛擬空間的角度出發(fā)，提出