基于Windows平臺的內(nèi)存數(shù)據(jù)獲取和取證技術(shù)研究.pdf

1、隨著信息安全和計算機取證技術(shù)的迅猛發(fā)展，計算機犯罪的手段和使用的技術(shù)也日新月異,犯罪份子使用的技術(shù)更加隱蔽、惡意程序更加深入底層、惡意程序駐留的位置也更加多樣化，計算機犯罪的定罪也越來越困難。傳統(tǒng)的計算機取證技術(shù)更多關(guān)注的是計算機系統(tǒng)中靜態(tài)數(shù)據(jù)，如硬盤、光盤等，而忽略了很多駐留在內(nèi)存中的潛在證據(jù)；而且新型的惡意程序經(jīng)常隱藏在 Bios、Firmware、PCI controller等地方，無法在文件系統(tǒng)中找到；再者，由于硬盤容量的不斷增

2、長，導(dǎo)致傳統(tǒng)文件系統(tǒng)分析的難度也越來越大；但是不管惡意程序隱藏在哪里，在當(dāng)前的計算機體系結(jié)構(gòu)中，內(nèi)存是所有可執(zhí)行程序運行的地方，當(dāng)然就會留下曾經(jīng)運行過的痕跡和證據(jù)，加上內(nèi)存的容量相對于硬盤等磁介質(zhì)存儲器來說還比較小，分析的速度相對來說比較快。因此研究內(nèi)存取證技術(shù)就顯得十分重要，可以更有效地打擊計算機犯罪行為。
　　本文的研究基于Windows NT系列操作系統(tǒng)，研究了在該系列平臺下，計算機中的物理內(nèi)存鏡像的獲取和分析技術(shù)，目的是為

3、了建立從鏡像獲取到取證分析的內(nèi)存取證的框架，為了達(dá)到這個目的，本文深入研究了Windows NT系列操作系統(tǒng)的核心運行機理和虛擬內(nèi)存管理機制，重點研究了PAE模式下虛擬地址到物理地址的轉(zhuǎn)譯過程、內(nèi)核對象訪問技術(shù)以及系統(tǒng)的核心數(shù)據(jù)結(jié)構(gòu) KPCR、KDBG、EPROCESS的作用和相互之間的聯(lián)系等；通過理論和實踐驗證的方式研究了地址轉(zhuǎn)譯過程、\Device\PhysicalMemory對象的訪問、在映像文件中掃描特定證據(jù)的方法；提出了通過內(nèi)