基于KPCR结构的Windows物理内存分析方法.pdfVIP

74 and 2009．45(18) Appl／cat／ons计算机工程与应用 ComputerEngineering 郭牧，王连海 GU0Mu．WANGLian—hai 山东省计算中心，济南250014 Science 250014，China ShandongComputer Center，Jinan E-mail：wanglh@keylab．net methodbasedOnKPCR Engineering GUOMu。WANGLian—hai．Windows structure．Computer physicalmemoryanalysis and Applications．2009。45(18)：74—77． functionof live slimstheresearcheson memo- Abstract：Thisdescribesthe forensics，and computerphysical paper computer up thanother forensics anewmethodofWindows forensics is is muchreliable ry analysis．Then memory analysisproposed，which methods．Thismethodis usefulin hveforensics． very computer live forensics Keywords：computerforensics；computerforensics；physicalmemoryanalysis；digital 摘要：介绍了计算机在线取证方式的优势，总结了目前国外在计算机物理内存分析的研究现状及其存在的不足，在此基础上提 出了一种新的Windows物理内存分析方法——基于KPCR结构的物理内存分析方法。与传统的物理内存方法相比，这种方法更为 可靠，适用范围更广，具有很高的实用价值。 关键词：计算机取证；计算机在线取证；物理内存分析；数字取证 文章编号：1002—8331(2009)18—0074-04文献标识码：A q*图分类弓-：TP319 DOI：10．37786．issn．1002—8331．2009．18．024 1前言 作用。 随着计算机技术、计算机网络技术和互联网的飞速发展， (2)磁盘容量的飞速增加，使得传统的磁盘克隆方法的实 计算机正在极大地促进了人类社会的进步，计算机和电子数据 施变得越来越困难。 已经深入到人们日常生活的各个方面。计算机技术在带来巨大 传统的磁盘克隆方式是将目标机器的所有磁盘全部克隆， 益处的I一时也带来了计算机犯罪问题。各类黑客入侵、网络诈 然后再进行分析。近年来，磁盘容量飞速增加，使得磁盘克隆的 骗、网络色隋等案件不断涌现。正如这次全国人大会议代表呼 时间和克隆成本迅速增加，同时随着海量存储技术的发展，将 吁的那样，网络犯罪已涉及到绝大部分社会犯罪现象，已经影 所有信息都克隆的方法实在是不可取的，是难以实施的。 响了正常的经济秩序。而打击网络犯罪主要依靠的技术手段是 (3)关机有可能带来巨大损失。 Forensics)。