Windows 8下基于镜像文件的内存取证研究.pdfVIP

Compu~rEngineeringandApplications计算机工程与应用 ◎网络 、通信、安全@ Windows8下基于镜像文件的内存取证研究 向 涛，苟木理 XIANG Tao，GOU Muli 重庆大学 计算机学院，重庆 400044 CollegeofComputerScience，ChongqingUniversity,Chongqing400044，China XIANG Tao，GOU M uli．M emoryforensicsbased onW indows8physicalmemorydumps．ComputerEngineeringand Applications，2013，49(19)：63-67． Abstract：M emoryforensicsisabranchofimportanceincomputerforensics，andsearchingforprocessesandthreadsinphysical memory dumpsiscrucialandchallengingofrmemory forensics．Thispaperinvestigatesthesearchingofprocessesandthreads inphysicalmemorydumpsbasedonthelatestMicrosoftoperationsystem Windows8．Byutilizingreverseengineeringtechniques， thekerneldatastructuresregardingprocessesandthreadsonWindows8areexplored，andtheirfeaturesareidentified．Basedon thesefeatures，analgorithm isproposedofrsearchingprocessesandthreadsinW indows8physicalmemorydumps．Experimental resultsandtheiranalysisindicatethatitiscapableofextractinginformationabouthiddenandnon-hiddenprocessesandtheir threadssuccessfully,therebyprovidingreliabledatafoundationofrfurtheranalysisinmemory forensics． Keywords：memory forensics；Windows8：process；thread；physicalmemoryanalysis 摘 要 ：内存取证是计算机取证 的一个重要分支，而获取 内存镜像文件 中进程和线程信息是 内存取证技术的重点和难 点。基于微软最新操作系统平 台Windows8，研究其进程和线程的获取方法。运用逆向工程分析技术对Windows8下进 程和线程相关 内核数据结构进行分析，提取 出相应特征 ；基于这些特征，提 出了一种能够从物理 内存镜像文件 中得到系统 当前进程和线程信息的算法。实验结果和分析表 明，该算法能够成功提取隐藏进程和非隐藏进程，及其各进程相关的线 程信息，为 内存取证分析提供了可靠的数据基础。 关键词 ：内存取证；Windows8；进程；线程 ；物理 内存分析 文献标志码 ：A 中图分类号 ：TP309 doi：10．3778／j．issn．1002—8331．1206．0397 l 引言 的内存数据。这些数据包括系统当前运行的进程、线程信 随着社会信息化程度的不断提高和普及，利用计算机 息、注册表键值、网络连接，以及网页地址、口令、加密密钥 和网络等信息化手段进行作案的犯罪行为也 日渐增多，数 和正在编辑的文件等驻留在内存中的信息。 字取证在这样的背景下便逐渐成为人们研究与关注的焦 内存取证技术是 目前国内外关于计算机取证研究的前 点 。数字取证能为此类案件的侦破和审理提供重要的线 沿和热点课题之一。2005年数字取证工作研究组(Digital 索和 电子证据 。数字取证包括计算机取证和网络取证 ，计 ForensicResear