[发明专利]一种基于内核对象链接关系的内存取证方法

说明书

技术领域

本发明属于计算机取证领域，特别针对Ms-windows的内存取证领域，具体是一种基于内核对象链接关系的内存取证方法。

背景技术

计算机技术的发展，极大提高了人们的工作效率、促进了经济社会的发展同、丰富了人们业余生活，随着计算机技术给社会带来巨大良好效益的同时计算机犯罪也渗入到社会的各个方面。据美国联邦调查局（FBI）统计，为应对各种计算机犯罪如恶意代码、间谍软件、计算机病毒等，美国企业在信息安全的投入高达672亿美元的投入。一些计算机发烧友或者黑客利用各种计算机漏洞、后门和恶意代码等入侵计算机，一些态度恶意的入侵人员很可能还会对数据进行破坏。人们使用电子设备和计算机或多或少都会留下相应的痕迹，在司法上如果可以完整的可信的从计算机中提供证据将极大的缩短取证过程增加证据的可信度。基于对计算机犯罪的地址和信息发现的需求计算机取证技术应运而生。内存作为计算机设备五大组成部分最重要的一部分，从内存中可以获得很多有用的信息如运行着的程序，打开的网络端口，已经使用过的注册表键值，所以内存的取证是当前计算机取证领域中一个重点和难点问题。

发明内容

为了克服现有技术中的不确定性以及偶然性等不足，本发明提供了一种基于内核对象链接关系的Ms-windows内存取证方法，利用本方法可以很好的对运行中的Ms-windows进行内存取证，以获得计算机中运行着的进程以及其重构内存地址空间。

本发明提供了一种基于内核对象链接关系的Ms-windows内存取证方法。该方法包括以下步骤：首先，利用MS-Windows操作系统的蓝屏内存转储技术或者内存转存软件，如DumpIt、win32DD和FTKImager等，获得正在运行的MS-Windows内存镜像，也就是内存的一份快照；其次利用Windbg获取Ms-Windows内核对象的数据结构；第三，由内核数据对象的数据结构得到内核对象的链接关系图；第四，利用Windbg调试同版本的MS-Windows系统得到内核对象Eproces的Magic Number以及每个内核对象的Pool Tag；第五，利用Eproces的Magic Number来定位内存镜像中的Eproces数据结构；最后，利用在步骤三得到的链接关系图可以逐步得到系统的各种内核对象信息而实现对MS-Windows内存系统的取证。

本发明具体包括如下步骤：

步骤(1) 获取正在运行的Ms-windows操作系统的内存镜像。

利用计算机蓝屏内存转储技术或者内存转存工具软件，如MoonSols DumpIt、Win32DD和FTKImager等，获得正在运行的Ms-windows内存镜像文件，也就是内存的一份快照。

步骤(2) 获取计算机内核对象的数据结构。

利用微软公司轻量级的用户态内核调试工具Windbg获取内核对象Eprocess、Peb和Vad的数据结构。这里的Eprocess是指Ms-windows为了进行进程管理而设计的一个内核对象，其保存了进程的各种相关信息和相关结构指针；Peb是指进程环境控制块，其存储了进程运行时的各种环境信息，在Peb里面有一个Ldr项这个结构描述了进程的加载模块信息，它指向的是一个_PEB_LDR_DATA结构，而这个结构中的InLoadOrderModuleList指向的是进程加载模块链表的表头；而Vad是指进程的虚拟地址空间树，为方便系统进行内存管理Ms-windows把进程的虚拟地址空间描述成一棵自适应的平衡二叉树，也就是VAD。

步骤(3) 获取内核对象的链接关系图。

利用步骤(2)中得到内核对象Eprocess、Peb和Vad的数据结构，得到内核对象之间的链接关系图。

步骤(4) 获取Eprcoess的魔数（Magic  Number）。

利用Windbg调试同版本的MS-Windows系统得到内核中Eprocess的Magic  Number以及每个内核对象的Pool Tag。

步骤(5) 定位Eproces数据结构在内存镜像文件中的位置。

在内存镜像文件中利用步骤(4)获得的Eprocess魔数进行字符串匹配来定位Eprocess结构的物理位置。

步骤(6) 获取系统运行时的信息。