內(nèi)存取證技術(shù)的研究及應(yīng)用.pdf

1、隨著電子計(jì)算機(jī)和網(wǎng)絡(luò)技術(shù)的快速發(fā)展，極大地提高了現(xiàn)代社會(huì)的發(fā)展速度，但同時(shí)也帶來(lái)了大量的計(jì)算機(jī)犯罪，并呈現(xiàn)出愈演愈烈的趨勢(shì)。計(jì)算機(jī)取證技術(shù)已經(jīng)成為還原計(jì)算機(jī)犯罪的重要的技術(shù)手段，可以給犯罪分子給予嚴(yán)厲的打擊。然而，黑客技術(shù)的發(fā)展導(dǎo)致通過(guò)傳統(tǒng)的離線(xiàn)分析方法很難得到有效的計(jì)算機(jī)犯罪證據(jù)，越來(lái)越多的惡意代碼采用了各種方式來(lái)隱藏自己，甚至不會(huì)在硬盤(pán)中留下任何的有用數(shù)據(jù)，因此，對(duì)于易失性數(shù)據(jù)的取證變得越來(lái)越重要，內(nèi)存取證技術(shù)也應(yīng)運(yùn)而生。
　

2、　現(xiàn)在的內(nèi)存取證技術(shù)還不夠成熟，沒(méi)有一種特別有效的取證方法，包括從正在運(yùn)行的操作系統(tǒng)中獲取完整內(nèi)存鏡像的方法，以及得到內(nèi)存鏡像數(shù)據(jù)之后的證據(jù)提取方法。從內(nèi)存鏡像文件的海量數(shù)據(jù)中找到有用的證據(jù)是很困難的事，成功獲取物理內(nèi)存鏡像文件之后，一般的處理流程是通過(guò)明文的關(guān)鍵字符串進(jìn)行查找，目的是得到賬戶(hù)信息，文檔數(shù)據(jù)等。雖然使用這種方法確實(shí)能得到一些信息，但是這種方法不能提供信息的上下文環(huán)境。無(wú)法知道匹配到的字符串來(lái)自哪個(gè)進(jìn)程地址空間，而且這種方

3、法對(duì)于經(jīng)過(guò)加密或特定文件格式編碼的內(nèi)存數(shù)據(jù)來(lái)說(shuō)是無(wú)效的。本文就是針對(duì)上述問(wèn)題對(duì)內(nèi)存取證技術(shù)開(kāi)展了相關(guān)研究，取得成果如下：
　　1.本文對(duì)內(nèi)存取證技術(shù)中從內(nèi)存鏡像文件中提取內(nèi)存概要數(shù)據(jù)的方法和針對(duì)單個(gè)進(jìn)程的載入模塊遍歷方法進(jìn)行了研究，對(duì)相應(yīng)的進(jìn)程內(nèi)核結(jié)構(gòu)進(jìn)行了深入分析，通過(guò)采用內(nèi)存映射文件技術(shù)，對(duì)現(xiàn)有的內(nèi)存鏡像文件中進(jìn)程概要數(shù)據(jù)的提取方法進(jìn)行了改進(jìn)，極大地縮短了提取時(shí)間。然后對(duì)目前存在的進(jìn)程隱藏技術(shù)進(jìn)行了詳細(xì)的分析，從物理內(nèi)存數(shù)據(jù)變

4、化的角度，對(duì)進(jìn)程隱藏技術(shù)進(jìn)行了分類(lèi)并提出相應(yīng)的隱藏進(jìn)程檢測(cè)方法。
　　2.在提取到進(jìn)程概要信息的基礎(chǔ)上，本文深入分析了進(jìn)程堆數(shù)據(jù)在內(nèi)存中的組織方式，提出了針對(duì)單個(gè)進(jìn)程的進(jìn)程堆數(shù)據(jù)的提取方法。同時(shí)，為了保證進(jìn)程內(nèi)存數(shù)據(jù)的完整性，對(duì)NTFS文件系統(tǒng)的格式進(jìn)行了研究，提出了頁(yè)面文件的提取方法。
　　3.本文研究了如何從進(jìn)程內(nèi)存數(shù)據(jù)中提取有用證據(jù)的方法，分析了未加密的內(nèi)存數(shù)據(jù)、使用異或操作和base64加密之后的內(nèi)存數(shù)據(jù)以及PDF文