內(nèi)存鏡像中文本數(shù)據(jù)提取方法研究.pdf

1、計(jì)算機(jī)內(nèi)存中保存著很多硬盤上沒有的重要信息，如進(jìn)程信息、線程信息、網(wǎng)絡(luò)連接信息、賬戶密碼信息等。內(nèi)存取證技術(shù)能夠在很多方面輔助傳統(tǒng)計(jì)算機(jī)取證，為司法機(jī)關(guān)提供支持?，F(xiàn)有的內(nèi)存取證技術(shù)大部分是針對(duì)系統(tǒng)信息的，如進(jìn)程的EPROCESS結(jié)構(gòu)，網(wǎng)絡(luò)連接信息，內(nèi)存中殘留的注冊(cè)表等，然而針對(duì)更重要的用戶數(shù)據(jù)的內(nèi)存取證技術(shù)少之又少。目前公開發(fā)表的中英文的論文中尚沒有從內(nèi)存鏡像中提取用戶的文本數(shù)據(jù)的方法，現(xiàn)有的取證工具也沒有這方面的功能。
　　

2、本文研究的內(nèi)容是從內(nèi)存鏡像中提取當(dāng)前系統(tǒng)正在打開的text文件。為了準(zhǔn)確提取當(dāng)前系統(tǒng)所打開的text文件，首先通過實(shí)驗(yàn)對(duì)比了大量Windows操作系統(tǒng)的內(nèi)存鏡像，總結(jié)歸納出了Windows XP系統(tǒng)下text文件在內(nèi)存中的存儲(chǔ)標(biāo)志、大小信息以及text文件在虛擬地址上的存儲(chǔ)規(guī)律;其次研究了現(xiàn)有提取進(jìn)程EPROCESS結(jié)構(gòu)方法的不足，提出了已關(guān)閉進(jìn)程EPROCESS結(jié)構(gòu)的提取方法，最后根據(jù)text文件的存儲(chǔ)規(guī)律，從虛擬空間的角度出發(fā)，提出