基于內核對象鏈接關系的內存取證研究.pdf

1、當前越來越多涉及計算機與網絡技術的新型犯罪問題引起了計算機科學界和法學界高度重視，傳統(tǒng)的計算機取證技術更多的是關注一些非易失性存儲介質的證據來源，如硬盤、光盤和U盤等等，而忽略了計算機內存這樣的易失性存儲介質。傳統(tǒng)的計算機取證方法不能應對Rootkit技術、DKOM技術和內存惡意代碼等新技術帶來的挑戰(zhàn)，但是內存取證技術可以很好的解決上述問題。因為Ms-Winodws7中的一些內核對象不再存儲在固定的地址，所以傳統(tǒng)的基于固定地址以及特征字

2、符串的方法對內存鏡像進行取證已經不再適用，本文利用MS-Windows7內核對象相互鏈接的特點，開展對MS-Windows7內存取證技術展開了研究。
　　首先，基于內核對象數據結構相互鏈接的特征，本文提出了一種利用內核調試器獲取內核對象鏈接關系的方法。在Ms-Windows7系統(tǒng)中大部分運行時信息存儲在一些內核對象數據結構中，在介紹和分析了常用的內核對象數據結構的基礎上，可以利用Windows內核調試器Windbg獲取MS-Win

3、dows7內核對象的數據結構之間的鏈接關系。同時利用內核對象數據結構存在互信息的特征，提出了一種利用互信息來提高識別內核對象準確率的方法。
　　其次，本文提出了一種系統(tǒng)運行時信息取證的方法。在得到內核對象的鏈接關系、特征串和互信息的基礎上，通過對內核對象鏈接關系圖的運用對系統(tǒng)運行時信息取證，其中系統(tǒng)運行時信息主要包括，運行著的進程和線程、進程的加載模塊、注冊表文件進行良好的取證。最后通過對Notepad單一進程的地址空間重構，成功

4、的從內存鏡像中還原出Notepad打開的文本信息。
　　最后，實現了一個基于內核對象鏈接關系內存取證的演示系統(tǒng)。該系統(tǒng)實現了進程信息、線程信息、加載模塊和地址轉換模塊等計算內存取證常用功能，該系統(tǒng)可以幫助取證人員高效的獲取系統(tǒng)運行時信息。
　　本文以Ms-Windows7內存鏡像為研究對象，提出了一種基于內核對象鏈接關系來進行計算內存取證的方法，解決了大部分內存取證工具對Ms-Windows7不支持的特性，成功地通過對特殊進