內存鏡像中Word文本證據分析.pdf

1、網絡和科技的發(fā)展給人們的工作和生活帶來了極大的便利，與此同時，也給計算機犯罪帶來了可乘之機。計算機取證技術，可以有效打擊計算機和網絡犯罪，為提高社會穩(wěn)定和維護法律秩序提供了強有力的支持，在信息安全領域起到重要作用。
　　 計算機取證分為離線取證和在線取證兩種方式，在線取證的出現彌補了離線取證的不足，由于在錢取證的內容大都儲存在計算機內存之中，所以對物理內存的取證分析就顯得尤為重要，通過內存取證可以獲取當前的進程信息等傳統(tǒng)離線方式

2、難以獲取的證據信息。內存取證是計算機取證的補充和輔助，能夠為計算機犯罪案件的偵破提供一種重要的線索。在內存取證當中，文檔的提取工作顯得越來越重要，論文就選取較為普遍的Word文檔提取進行研究。
　　 為了提取Word文本證據，論文分析了Windows內存管理模式，采用基于EPROCESS特征的物理內存查找方法，找出頁目錄基地址，并根據虛擬地址描述符提取活動進程空間。然后論文根據場景需要設計了兩種提取Word文本韻方法。第一種方法