內(nèi)存鏡像中Word文本證據(jù)分析.pdf

1、網(wǎng)絡(luò)和科技的發(fā)展給人們的工作和生活帶來(lái)了極大的便利，與此同時(shí)，也給計(jì)算機(jī)犯罪帶來(lái)了可乘之機(jī)。計(jì)算機(jī)取證技術(shù)，可以有效打擊計(jì)算機(jī)和網(wǎng)絡(luò)犯罪，為提高社會(huì)穩(wěn)定和維護(hù)法律秩序提供了強(qiáng)有力的支持，在信息安全領(lǐng)域起到重要作用。
　　 計(jì)算機(jī)取證分為離線取證和在線取證兩種方式，在線取證的出現(xiàn)彌補(bǔ)了離線取證的不足，由于在錢(qián)取證的內(nèi)容大都儲(chǔ)存在計(jì)算機(jī)內(nèi)存之中，所以對(duì)物理內(nèi)存的取證分析就顯得尤為重要，通過(guò)內(nèi)存取證可以獲取當(dāng)前的進(jìn)程信息等傳統(tǒng)離線方式

2、難以獲取的證據(jù)信息。內(nèi)存取證是計(jì)算機(jī)取證的補(bǔ)充和輔助，能夠?yàn)橛?jì)算機(jī)犯罪案件的偵破提供一種重要的線索。在內(nèi)存取證當(dāng)中，文檔的提取工作顯得越來(lái)越重要，論文就選取較為普遍的Word文檔提取進(jìn)行研究。
　　 為了提取Word文本證據(jù)，論文分析了Windows內(nèi)存管理模式，采用基于EPROCESS特征的物理內(nèi)存查找方法，找出頁(yè)目錄基地址，并根據(jù)虛擬地址描述符提取活動(dòng)進(jìn)程空間。然后論文根據(jù)場(chǎng)景需要設(shè)計(jì)了兩種提取Word文本韻方法。第一種方法