虛擬還原穿透方法研究.pdf

1、遠(yuǎn)程實(shí)時(shí)監(jiān)控軟件是計(jì)算機(jī)取證中的一個(gè)重要組成部分，但在植入遠(yuǎn)程實(shí)時(shí)監(jiān)控軟件時(shí)往往會(huì)受到虛擬還原軟件的干擾。因此，研究虛擬還原穿透技術(shù)對(duì)于計(jì)算機(jī)網(wǎng)絡(luò)隱蔽取證具有重要的理論意義和實(shí)用價(jià)值。
　　 在分析設(shè)備驅(qū)動(dòng)程序的基本組成、用戶態(tài)應(yīng)用程序與驅(qū)動(dòng)程序的通信方式和使用I/O（Input/Output）控制碼對(duì)設(shè)備進(jìn)行輸入輸出控制等相關(guān)技術(shù)的基礎(chǔ)上，設(shè)計(jì)了一個(gè)基于端口操作的虛擬還原穿透驅(qū)動(dòng)程序POVRPD（Port Operation-

2、based VirtualRecovery Pass-through Driver）。
　　 根據(jù)磁盤讀寫操作的處理流程，分析了幾個(gè)還原軟件的技術(shù)關(guān)鍵，提出了POVRPD的指導(dǎo)思想和技術(shù)思路，給出了POVRPD中兩個(gè)關(guān)鍵技術(shù)：穿透方式和輸入輸出同步的核心。穿透方式的核心是在突破驅(qū)動(dòng)器讀寫限制的基礎(chǔ)上，實(shí)現(xiàn)扇區(qū)直接讀寫；輸入輸出同步的核心是對(duì)磁盤讀寫操作進(jìn)行排隊(duì)管理。最后綜合技術(shù)思路和關(guān)鍵技術(shù)，說明了POVRPD的處理流程。

3、>　　 基于POVRPD的處理流程，重點(diǎn)闡述了其中關(guān)鍵技術(shù)的實(shí)現(xiàn)途徑，包括驅(qū)動(dòng)器讀寫限制的突破、磁盤讀寫操作的截獲、扇區(qū)的直接讀寫以磁盤讀寫操作的排隊(duì)管理。為了驗(yàn)證POVRPD的穿透性能，設(shè)計(jì)了測(cè)試程序，并分別在安裝了基于WindowsXP系統(tǒng)還原的還原軟件、基于過濾驅(qū)動(dòng)的還原軟件以及基于中斷重定向的還原軟件的Windows操作系統(tǒng)環(huán)境下，進(jìn)行了測(cè)試。
　　 測(cè)試結(jié)果表明，POVRPD不僅能夠穿透若干主流的虛擬還原軟件，而且兼