《信息安全总结报告》PPT课件.pptxVIP

Memory Analysis of Cold-Booted Android Devices2014年10月23日2021/6/30Android 取证的研究背景与意义cold boot attacks、android platform、volatility安卓内存镜像的获取安卓内存镜像的分析与应用总结2021/6/30Android系统移动电话和电脑的普遍Android设备中用户数据的重要性Android内存取证重要性2021/6/30Android 取证的研究背景与意义Android 取证的研究背景与意义cold boot attacks、android platform、volatility安卓内存镜像的获取安卓内存镜像的分析与应用总结2021/6/302021/6/30cold boot attacks冷启动原理冷启动作用于安卓内存取证冷启动对数据恢复的正确率2021/6/30cold boot attacks2021/6/30android platform安卓系统是基于Linux系统的，通过对linux系统进行改进，增加了自己的一些结构和功能。其中最重要的一点是在对内存提取和内存管理方面，安卓还是跟Linux一样都是基于linux 内核机制。2021/6/30The Volatility FrameworkVolatility 是一款针对内存信息提取开源的一款应用，作用于windows系统、linux系统、以及MAC系统。它可以提取内存中运行的进程，网络套接字，每个进程映射的内存空间等等，具有强大的功能。Android 取证的研究背景与意义cold boot attacks、android platform、volatility安卓内存镜像的获取安卓内存镜像的分析与应用总结2021/6/302021/6/30Android内存的提取通过FROST和LiMe获取安卓手机内存 FROST是内存取证的工具LiMe是FROST开源的内核模块 在电脑上安装FROST之后，通过USB连接我们要取证的安卓设备，然后进行内存的提取Android 取证的研究背景与意义cold boot attacks、android platform、volatility安卓内存镜像的获取安卓内存镜像的分析与应用总结2021/6/30分析安卓的内核结构安卓的内存管理是基于linux 的内存管理配置linux下的Volatility的环境（volatility profile）Volatility运用于Android平台 volatility支持Android是一个新的运用在Android平台中很多Volatility plugin运用 plugin linux pslist（计算系统所有运行的进程）Plugin Linux_ ifconfig（IP、MAC的地址）2021/6/30安卓设备内存的分析与应用Dalvik虚拟机是Android程序的虚拟机，是Android中Java程序的运行基础。其指令集基于寄存器架构，执行其特有的文件格式——dex字节码来完成对象生命周期管理、堆栈管理、线程管理、安全异常管理、垃圾回收等重要功能。它的核心内容是实现库（libdvm.so），大体由C语言实现。依赖于Linux内核的一部分功能——线程机制、内存管理机制，能高效使用内存，并在低速CPU上表现出的高性能。每一个Android应用在底层都会对应一个独立的Dalvik虚拟机实例，其代码在虚拟机的解释下得以执行。2021/6/30安卓设备内存的分析与应用每一个Dalvik实例都有一个DvmGlobals结构，通过分析Dalvik实例可以得到：实例对应的进程进程中的class特定class中的变量以及方法名2021/6/30分析Dalvik虚拟机的结构2021/6/30分析Dalvik虚拟机获得信息首先通过Plugin_dalvik_find_gdvm_offset获得每个Dalvik实例对应的偏移地址；其次就是通过Plugin dalvik vms以及上面获得的每个Dalvik实例对应的偏移地址获得每一个Dalvik实例的基本信息（包括进程的ID、进程的名子以及加载class的数量）通过volatility plugin Dalvik_vms进程的ID号、名字以及包含的类个数2021/6/30分析Dalvik虚拟机获得信息通过dalvik_loaded_classes 获取输入PID号进程包含的class信息2021/6/30分析Dalvik虚拟机获得信息通过dalvik class information可以获得每一个类包含的具体信息2021/6/30分析Dalvik虚拟机获得信息通过Plugin dalvik find class instance获取运行时