計算機取證物理內存鏡像獲取技術的研究與實現(xiàn).pdf

1、隨著信息技術的發(fā)展，計算機與網(wǎng)絡成為社會政治、經(jīng)濟、文化生活的重要組成部分，而與此相關的各種計算機犯罪現(xiàn)象也日益突出。計算機取證技術成為打擊計算機犯罪的重要手段，是目前計算機界和法學界共同研究、關注的重點。 本文介紹了計算機取證技術的現(xiàn)狀和發(fā)展情況，比較了現(xiàn)有的計算機取證模式，分析了離線取證模式的不足，指出了在線取證模式研究的必要性。物理內存取證是在線取證的重要環(huán)節(jié)，也是當今的研究熱點。本文旨在研究物理內存取證中的物理內存鏡像獲

2、取技術?，F(xiàn)有技術是在用戶態(tài)打開\Device\PhysicalMemory內核對象來訪問物理內存，然而在Windows2003及Vista等版本下，用戶態(tài)訪問此內核對象受到限制，只有通過內核態(tài)才能訪問。因此，需要通過驅動程序的方法。本文開發(fā)的基于內核驅動的物理內存鏡像獲取工具，可以解決DD等當前取證工具在Windows高端版本下使用受限的問題。 研究物理內存，首先要了解Windows操作系統(tǒng)內存管理機制。Windows操作系統(tǒng)采

3、用請求分頁的虛擬存儲管理技術，通過在虛擬地址空間的頁與物理地址空間的頁之間建立映射，實現(xiàn)虛擬地址到物理地址的變換。地址變換過程由內存管理單元（MMU）自動完成，但是對取證過程中的數(shù)據(jù)比對分析，需要手工完成地址變換過程。以往的研究對地址變換的描述都是基于X86體系模型，與當前大量使用的采用物理地址擴展（PAE）模式的XP系統(tǒng)并不完全吻合。本文結合Windows XP SP2版本提出地址變換公式。同時，由于一直以來大量的相關文獻都依賴微軟所

4、頒布的技術資料，僅以虛擬地址空間的觀點來解釋虛擬地址轉換的過程，無法解釋任意進程的虛擬地址，如何映射到物理地址空間中。本文使用進程和物理內存的觀點來研究地址變換，清晰的說明了任意進程的虛擬地址空間如何在物理地址空間中定位。 本文結合Windows系統(tǒng)結構，闡述了內核驅動程序訪問物理內存的基本原理，依照驅動程序基本框架，開發(fā)了內核驅動程序和用戶態(tài)調用程序，來獲取物理內存鏡像，并提供了程序的核心代碼。然后，對實驗結果進行了分析評價。