信息安全课程.pptxVIP

Memory Analysis of Cold-Booted Android Devices 2014年10月23日 总结 Android 取证的研究背景与意义 cold boot attacks、android platform、volatility 安卓内存镜像的获取 安卓内存镜像的分析与应用 Android 取证的研究背景与意义 Android系统移动电话和电脑的普遍 Android设备中用户数据的重要性 Android内存取证重要性 总结 Android 取证的研究背景与意义 cold boot attacks、android platform、volatility 安卓内存镜像的获取 安卓内存镜像的分析与应用 cold boot attacks 冷启动原理 冷启动作用于安卓内存取证 冷启动对数据恢复的正确率 cold boot attacks android platform 安卓系统是基于Linux系统的，通过对linux系统进行改进，增加了自己的一些结构和功能。其中最重要的一点是在对内存提取和内存管理方面，安卓还是跟Linux一样都是基于linux 内核机制。 The Volatility Framework Volatility 是一款针对内存信息提取开源的一款应用，作用于windows系统、linux系统、以及MAC系统。 它可以提取内存中运行的进程，网络套接字，每个进程映射的内存空间等等，具有强大的功能。 总结 Android 取证的研究背景与意义 cold boot attacks、android platform、volatility 安卓内存镜像的获取 安卓内存镜像的分析与应用 Android内存的提取 通过FROST和LiMe获取安卓手机内存 FROST是内存取证的工具 LiMe是FROST开源的内核模块 在电脑上安装FROST之后，通过USB连接我们要取证的安卓设备，然后进行内存的提取 总结 Android 取证的研究背景与意义 cold boot attacks、android platform、volatility 安卓内存镜像的获取 安卓内存镜像的分析与应用 安卓设备内存的分析与应用 分析安卓的内核结构 安卓的内存管理是基于linux 的内存管理 配置linux下的Volatility的环境（volatility profile） Volatility运用于Android平台 volatility支持Android是一个新的运用 在Android平台中很多Volatility plugin运用 plugin linux pslist（计算系统所有运行的进程） Plugin Linux_ ifconfig（IP、MAC的地址） 安卓设备内存的分析与应用 Dalvik虚拟机是Android程序的虚拟机，是Android中Java程序的运行基础。其指令集基于寄存器架构，执行其特有的文件格式——dex字节码来完成对象生命周期管理、堆栈管理、线程管理、安全异常管理、垃圾回收等重要功能。它的核心内容是实现库（libdvm.so），大体由C语言实现。依赖于Linux内核的一部分功能——线程机制、内存管理机制，能高效使用内存，并在低速CPU上表现出的高性能。每一个Android应用在底层都会对应一个独立的Dalvik虚拟机实例，其代码在虚拟机的解释下得以执行。 分析Dalvik虚拟机的结构 每一个Dalvik实例都有一个DvmGlobals结构，通过分析Dalvik实例可以得到： 实例对应的进程 进程中的class 特定class中的变量以及方法名  分析Dalvik虚拟机获得信息 首先通过Plugin_dalvik_find_gdvm_offset获得每个Dalvik实例对应的偏移地址； 其次就是通过Plugin dalvik vms以及上面获得的每个Dalvik实例对应的偏移地址获得每一个Dalvik实例的基本信息（包括进程的ID、进程的名子以及加载class的数量） 分析Dalvik虚拟机获得信息 通过volatility plugin Dalvik_vms进程的ID号、名字以及包含的类个数 分析Dalvik虚拟机获得信息 通过dalvik_loaded_classes 获取输入PID号进程包含的class信息 分析Dalvik虚拟机获得信息 通过dalvik class information可以获得每一个类包含的具体信息 分析运行时的对象  通过Plugin dalvik find class instance获取运行时的信息，这些信息对取证有着重要的作用 主要方法是：通过DVM heap找到每个进程的地址映射空间，定位开始和结束的的进程地址 安卓内存镜像应用