浏览器隐私模式下的内存取证研究

《浏览器隐私模式下的内存取证研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、分类号!￡墨鲤重庆邮电大学硕士学位论文英文题目丛星堡Q!Y夏Q￡星塾曼i鱼＆星墨曼垒!Qh旦垒墨堡鱼Q旦呈!iy垒!星旦!Q迎墨i垒gQi旦!Q迎墨曼!论文提交日期星Q!星生垒旦论文答辩日期窒Q!星生墨旦圣鱼旦论文评阅人2012年6月独创性声明本人声明所呈交的学位论文是本人在导师指导下进行的研究工作及取得的研究成果。据我所知，除了文中特别加以标注和致谢的地方外，论文中不包含其他人已经发表或撰写过的研究成果，也不包含为获得重麽邮电太堂或其他教育机构的学位或证书而使用过的材料。与我一同工作的同志对本研究所做的任何贡献均已在论文中作了明确的说明并表示

2、谢意。学位论文作者签名：学位论文版权使用授权书本学位论文作者完全了解重麽虫Ⅸ皇太堂有关保留、使用学位论文的规定，有权保留并向国家有关部门或机构送交论文的复印件和磁盘，允许论文被查阅和借阅。本人授权重麽由＆电太堂可以将学位论文的全部或部分内容编入有关数据库进行检索，可以采用影印、缩印或扫描等复制手段保存、汇编学位论文。(保密的学位论文在解密后适用本授权书)学位论文作者签名：鸯朗殳导师签名：硝，龙签字日期：如f二年易月后日签字日期：b11／年‘月舌日重庆邮电大学硕士论文摘要随着计算机网络技术的快速发展，网络犯罪日益增多，犯罪手段也日益多元化。这时计

3、算机离线取证存在的许多不足就逐渐显露出来，比如：很多易失数据如内存映射文件等将会丢失，内核级别的病毒或木马有可能为运行于用户态的取证工具提供虚假信息，因此离线取证已经不再满足需求，基于这些不足动态取证应运而生。越来越多的网络安全问题需要使用动态取证去解决，如浏览器隐私模式，在这种模式下用户的浏览行为将会被浏览器自动擦除，而不在本地磁盘中留下任何痕迹，传统的磁盘取证就不再适用。基于此，本文针对浏览器隐私模式这一典型应用进行了内存取证的研究工作，主要包括以下几点：(1)随着网络技术的迅猛发展，互联网应用产品也不断推陈出新。作为使用最广泛的互联网入口

4、的web浏览器也不断升级，现在就出现了一种应用可以消除用户的浏览痕迹，即隐私浏览模式。本文对多个主流浏览器的隐私模式进行了测试，检测隐私模式是否真能消除浏览痕迹。(2)通过上述实验发现，浏览器的隐私模式使得用户的浏览痕迹无法存留于本地硬盘中，为了解决由此引发的取证难题，这里提出了一种新的内存数据获取方法。传统的内存取证方式主要是先获取整个物理内存的镜像文件，再通过KPCR结构的分析，从镜像文件中获取指定进程中的内存数据。但是这种方法存在明显的不足：针对性不强，运行速度慢。为了克服这些不足，本文提出一种方法，通过对进程的CR3寄存器内容的替换实现

5、对指定进程内存空间的提取。(3)为了验证上述数据获取方法的正确性，本文首先设计了一个网页并用浏览器打开，然后根据上述提出的新算法获取浏览器进程的内存数据，再根据HTML的开头和结尾的结构进一步从内存数据中获取HTML，最后根据该HTML恢复网页。本文通过网页的正确恢复，证明了内存数据获取算法的正确性。(4)为了进一步简化取证人员的分析工作，提供更加完整的电子证据，这里从浏览行为取证的角度建立了一个目标数据集，再从获取到的内存数据中搜索目标数据，最后用这些数据构成完整的电子证据。关键字：web浏览器；隐私浏览模式，内存取证，网络安全重庆邮电大学硕

6、士论文Abs仃actAbstractWiththerapiddeVelopmentofcomputernetworktechnology，cybercrimeisincreasing，thecriminalmeansarealsoincreasinglydiVerse．Manyoftheshortcomingsinthecomputerofninef6rensicsaregraduallyreVealedatpresent．Forexample，alotofVolatiledatasuchasmemory—mappednleswillbelos

7、tandthevirusortrojanwithkernelleVelmayproVidefalseinformationtothefbrensictoolsthatrunintheusermode．Soofninefbrensicsisnolongermeetthedemand．Basedonthesedeficiencies，dynamicforensicscomeintobeing．MoreandmorenetworksecurityissuesaresolVedbydynamicforensics，suchaspriVatebrowsi

8、ngmode，theuser’sbrowsingbehaViorwillbeautomaticallyerasedinthismodeandleaVe