Windows 8下基于镜像文件的内存取证研究

摘要：

内存取证是计算机取证的一个重要分支，而获取内存镜像文件中进程和线程信息是内存取证技术的重点和难点。基于微软最新操作系统平台Windows 8，研究其进程和线程的获取方法。运用逆向工程分析技术对Windows 8下进程和线程相关内核数据结构进行分析，提取出相应特征；基于这些特征，提出了一种能够从物理内存镜像文件中得到系统当前进程和线程信息的算法。实验结果和分析表明，该算法能够成功提取隐藏进程和非隐藏进程，及其各进程相关的线程信息，为内存取证分析提供了可靠的数据基础。

关键词：内存取证、Windows 8、进程、线程、物理内存分析

分类号：TP309(计算技术、计算机技术)

资助基金：国家自然科学基金No.61103211；中国博士后科学基金特别资助No.201104302；中央高校基本科研业务经费面上项目No.CDJZR10180020。

在线出版日期：2013-10-17（万方平台首次上网日期，不代表论文的发表时间）

页数：共5页

页码：63-67