[发明专利]一种虚拟化环境中的windows内核基地址及编译版本识别方法

说明书

本发明涉及一种虚拟化环境中的windows内核基地址及编译版本识别方法，基于虚拟机反省技术的内核定位是以虚拟机反省技术为基础，分析出当前操作系统使用的内存架构和当前虚拟机内核空间地址对应的物理内存；以内存页为单位读取PE文件信息，分析属于内核空间的物理内存页，判断页开始是否为可执行文件的魔数“MZ”；基于PE结构分析的加载镜像识别是根据所述的基于虚拟机反省技术的内核定位步骤中定位的PE起始地址，获取镜像调试段数据；通过对内存中调试信息段的分析获取在编译时生成的调试文件名称和PE文件唯一编译标示。本发明的有益效果是：稳定的获取开启内存地址空间随机化的Windows虚拟机内核基地址；实现了获取Windows虚拟机运行操作系统的详细编译版本。

技术领域

本发明涉及一种通过虚拟机内存反省技术获取虚拟机中相关信息的方法，具体的涉及一种虚拟化环境中的windows内核基地址及编译版本识别方法，属于计算机应用领域。

背景技术

在虚拟化环境中，可以通过虚拟机反省技术方式获取虚拟机的内存数据，通过对内存数据的分析可以获取虚拟机运行信息。在分析虚拟机运行信息时，首先要获取其内核基地址，目前大多方法都是基于启发式地尝试不同Windows版本的基地址。而在Windows NT6.0（Windows Vista）以后的版本中系统引入了内存空间地址随机化，使得每次启动内核加载的基地址都不一样。这使得原有的方法都无法用在高版本的Windows操作系统上。同时，内存分析需要结合符号表进行，不同的编译版本对应不同的符号表，同一个基础内核版本（如Windows 7）对应着几十个编译版本。而现有的技术大多使用数据分析的方式，根据结构体的特性判断操作系统版本，该类只能获取基础版本，无法获取准确的编译版本。

为此，如何提供一种实现在虚拟机化环境中稳定地获取虚拟机中任意Windows版本的虚拟机的内核基地址和其准确的内核编译版本的识别方法，是本发明研究的目的所在。

发明内容

为解决现有技术的不足，本发明提供一种虚拟化环境中的windows内核基地址及编译版本识别方法，稳定地获取开启内存地址空间随机化的Windows虚拟机内核基地址；实现了获取Windows虚拟机运行操作系统的详细编译版本，帮助建立内核文件与符号信息的一一对应。

为解决现有技术问题，本发明所采用的技术方案是：一种虚拟化环境中的windows内核基地址及编译版本识别方法，包括基于虚拟机反省技术的内核定位和基于PE结构分析的加载镜像识别两个部分；所述的基于虚拟机反省技术的内核定位是以虚拟机反省技术为基础，开始状态下读取CR4寄存器数据，获取当前内存分页结构；所述的内存分页结构包括虚拟机的部分寄存器和内存数据；以这些数据为基础读取CR3寄存器数据，获取当前内核空间对应物理地址范围；从内核空间低地址开始，假设其为PE文件起始地址，分析出当前操作系统使用的内存架构（32位模式、32e模式或64位模式）和当前虚拟机内核空间地址对应的物理内存；之后从PE文件起始地址开始，以内存页为单位读取PE文件信息，分析属于内核空间的物理内存页，判断DOS前两个字节是否为魔数“MZ”，即判断页开始是否为可执行文件的魔数“MZ”；如果是则判定该页起始地址为镜像加载的起始地址，否则以页为单位自增PE文件起始地址后进入重新以页为单位读取PE文件信息状态。

所述的基于PE结构分析的加载镜像识别是根据所述的基于虚拟机反省技术的内核定位步骤中定位的PE起始地址，获取镜像调试段IMAGE_DEBUG_DIRECTORY数据，读取IMAGE_DEBUG_TYPE_CODEVIEW数据段信息并分析其PE头及调试信息段；通过对内存中调试信息段的分析获取在编译时生成的调试文件名称和PE文件唯一编译标示。

进一步的，所述的内存分页结构包括虚拟机的部分寄存器和内存数据。