内存取证工具的研究和实现

《内存取证工具的研究和实现》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、内存取证工具的研究与实现ADissertationSubmittedtoShanghaiJiaoTongUniversityforMasterDegreeofScienceRESEARCHANDDEVELOPMENTOFMEMORYFORENSICSTOOLSUniversityCode：10248Author：TingSangStudentID：1100379027Mentor1：BeijunShenMentor2:BoJinComputerScienceandField：TechnologyDateo

2、fOralDefense：2013.1.9SchoolofSoftwareShanghaiJiaotongUniversityNov.,2012万方数据内存取证工具的研究与实现上海交通大学学位论文原创性声明本人郑重声明：所呈交的学位论文，是本人在导师的指导下，独立进行研究工作所取得的成果。除文中已经注明引用的内容外，本论文不包含任何其他个人或集体已经发表或撰写过的作品成果。对本文的研究做出重要贡献的个人和集体，均已在文中以明确方式标明。本人完全意识到本声明的法律结果由本人承担。学位论文作者签名：日期：年月

3、日万方数据内存取证工具的研究与实现上海交通大学学位论文版权使用授权书本学位论文作者完全了解学校有关保留、使用学位论文的规定，同意学校保留并向国家有关部门或机构送交论文的复印件和电子版，允许论文被查阅和借阅。本人授权上海交通大学可以将本学位论文的全部或部分内容编入有关数据库进行检索，可以采用影印、缩印或扫描等复制手段保存和汇编本学位论文。保密□，在年解密后适用本授权书。本学位论文属于不保密。（请在以上方框内打―√‖）学位论文作者签名：指导教师签名：日期：年月日日期：年月日万方数据内存取证工具的研究与实现学

4、位论文原创性声明—扫描件71万方数据内存取证工具的研究与实现学位论文版权使用授权书—扫描件72万方数据内存取证工具的研究与实现内存取证工具的研究与实现摘要随着信息技术的飞速发展，计算机和互联网逐渐成为了社会生活各个领域的重要组成部分。一方面它们的出现极大地便利了人们的生活和工作，另一方面，它们也越来越多地被不法分子用于从事非法活动。而计算机取证技术作为打击计算机犯罪的重要手段之一，应该做到与时俱进，以充分发挥打击犯罪的作用。计算机在线取证是计算机司法取证的一个重要组成部分，在很多方面都有着不可替代的地位,

5、而计算机内存取证作为在线取证的最重要环节，也是当今的电子取证研究的热点之一。本文从物理内存和虚拟内存两个方面，研究并提出了计算机内存取证活动中系统内存的信息获取技术和方法，开发出了两个实用、有效的内存取证工具。本文研究工作包括以下两个方面：1）研究提出了基于进程冻结的物理内存取证方法，开发了相应的工具。很多现有的物理内存获取的研究都是基于通过在用户态下直接打开内核对象来访问并获取物理内存，然而在新版本的Windows操作系统都无法直接访问内核对象。而且现有的工具多数并不是专门为取证活动而开发，因而在一定程

6、度上使用获取到的内核镜像文件缺乏证据力。本文在分析Windows内核驱动程序访问物理内存的基本原理的基础上，综合考虑计算机取证活动的特殊需求，提出了基于进程冻结的物理内存取证方法，并开发了PhyMmDumper工具。与win32dd和DumpIt工具的比对实验表明，该工具在性能上具有一定的优势。2）研究提出了基于卷影复制服务的虚拟内存取证方法，开发了相应的工具。现有的取证工具中都只关注系统物理内存的获取和分析，而忽略了页交换文件的重要作用。本文分析了Windows操作系统内存管理机制以及现有的获取页交换文

7、件的原理和流程，研究并提出了一种新的基于卷影复制服务的虚拟内存取证方法。这种方法最大的特点在于服务本身是由微软提供的，在可信度上比其它工具所采用的基于强制复制的方法要高很多，而且在原理上也符合取证活动中的要求。在此基础上开发了PagefileCopy工具。实验表明，工具能够在开机的状态下快速地获取系统交换文件。I万方数据内存取证工具的研究与实现目前，上述两个内存取证工具已在公安部第三研究所开始试用，获得了良好的用户反馈。关键词：计算机取证，在线取证，内核驱动，页交换文件，卷影复制服务II万方数据内存取证工

8、具的研究与实现RESEARCHANDDEVELOPMENTOFMEMORYFORENSICSTOOLSABSTRACTWiththeevolutionoftheinformationtechnology,computerandInternethasbeenimportantcomponentsofalmosteveryareaofthemodernsocial.Theynotonlyprovideconveniencefora