內存取證技術的研究及應用.pdf

1、隨著電子計算機和網(wǎng)絡技術的快速發(fā)展，極大地提高了現(xiàn)代社會的發(fā)展速度，但同時也帶來了大量的計算機犯罪，并呈現(xiàn)出愈演愈烈的趨勢。計算機取證技術已經(jīng)成為還原計算機犯罪的重要的技術手段，可以給犯罪分子給予嚴厲的打擊。然而，黑客技術的發(fā)展導致通過傳統(tǒng)的離線分析方法很難得到有效的計算機犯罪證據(jù)，越來越多的惡意代碼采用了各種方式來隱藏自己，甚至不會在硬盤中留下任何的有用數(shù)據(jù)，因此，對于易失性數(shù)據(jù)的取證變得越來越重要，內存取證技術也應運而生。
　

2、　現(xiàn)在的內存取證技術還不夠成熟，沒有一種特別有效的取證方法，包括從正在運行的操作系統(tǒng)中獲取完整內存鏡像的方法，以及得到內存鏡像數(shù)據(jù)之后的證據(jù)提取方法。從內存鏡像文件的海量數(shù)據(jù)中找到有用的證據(jù)是很困難的事，成功獲取物理內存鏡像文件之后，一般的處理流程是通過明文的關鍵字符串進行查找，目的是得到賬戶信息，文檔數(shù)據(jù)等。雖然使用這種方法確實能得到一些信息，但是這種方法不能提供信息的上下文環(huán)境。無法知道匹配到的字符串來自哪個進程地址空間，而且這種方

3、法對于經(jīng)過加密或特定文件格式編碼的內存數(shù)據(jù)來說是無效的。本文就是針對上述問題對內存取證技術開展了相關研究，取得成果如下：
　　1.本文對內存取證技術中從內存鏡像文件中提取內存概要數(shù)據(jù)的方法和針對單個進程的載入模塊遍歷方法進行了研究，對相應的進程內核結構進行了深入分析，通過采用內存映射文件技術，對現(xiàn)有的內存鏡像文件中進程概要數(shù)據(jù)的提取方法進行了改進，極大地縮短了提取時間。然后對目前存在的進程隱藏技術進行了詳細的分析，從物理內存數(shù)據(jù)變

4、化的角度，對進程隱藏技術進行了分類并提出相應的隱藏進程檢測方法。
　　2.在提取到進程概要信息的基礎上，本文深入分析了進程堆數(shù)據(jù)在內存中的組織方式，提出了針對單個進程的進程堆數(shù)據(jù)的提取方法。同時，為了保證進程內存數(shù)據(jù)的完整性，對NTFS文件系統(tǒng)的格式進行了研究，提出了頁面文件的提取方法。
　　3.本文研究了如何從進程內存數(shù)據(jù)中提取有用證據(jù)的方法，分析了未加密的內存數(shù)據(jù)、使用異或操作和base64加密之后的內存數(shù)據(jù)以及PDF文