[发明专利]基于结构链逆向的内存碎片文件重建方法及系统

说明书

本发明属于电子取证技术领域，特别涉及一种基于结构链逆向的内存碎片文件重建方法及系统，扫描并分析内存介质映像，建立碎片集合到文件碎片子集的映射，获取文件碎片子集中的碎片元素；基于操作系统结构逆向分析，构建文件碎片子集中碎片元素的连接关系及逻辑位置，重构内存碎片文件。本发明利用基于结构链逆向的内存碎片文件雕刻重建来满足电子(数字)犯罪取证实际应用，能够适合于正在运行的基于Windows不同版本操作系统的物理内存中网络入侵行为的数据文件的恢复与分析，具有较强的实用性。

技术领域

本发明属于电子取证技术领域，特别涉及一种基于结构链逆向的内存碎片文件重建方法及系统。

背景技术

随着信息技术的迅猛发展，网络犯罪事件频繁发生，比如电信诈骗、信息勒索以及APT攻击等。数字取证调查已经成为制止和威慑网络犯罪关键技术手段之一。磁盘取证是数字取证领域中一种重要的调查技术，对于数字犯罪调查具有重要意义。但随着反取证技术的发展，新型“无文件攻击”等网络威胁仅在内存中运行，不在磁盘上留下任何痕迹信息，具有更强的隐蔽性和复杂性。此外，磁盘容量的不断增大，导致磁盘取证具有局限性。内存中含有与网络攻击威胁有关的大量实时证据和线索，而且内存中的网络连接、系统加载的模块以及执行的指令等证据信息和磁盘中的证据不同，更能说明网络攻击威胁发生的场景。因此内存取证成为当前数字调查领域重要研究方向。

目前，内存取证主要聚焦于基于内存映像的进程、网络连接信息、剪贴板数据、命令行历史、口令等证据的提取和分析，而针对内存映像中数据文件雕刻技术研究较少。在早期内存取证实践工作中，调查人员利用Mark Russinovich开发的“strings”工具、WinHex等工具，从内存映像中搜索口令、IP地址、Email地址等证据信息，该方法的前提是必须知道所要查找信息的内容。之后，有人讨论了基于内存映像精确提取证据的可行性，并设计了内存映像中进程对应的可执行文件的提取方法，通过使用指针来重构可执行文件，并分析了可执行文件由于运行时多种变量的变化因素，导致基于内存映像提取的可执行文件与其在磁盘上相应的文件不能完全相同。利用虚拟地址描述符(Virtual Address Descriptor，VAD)树来定位、解析结构，遍历进程的虚拟内存空间，并为取证调查人员提供内存转储中有用的信息。基于VAD的内存数据文件提取方法，即通过遍历VAD树，定位共享文件，然后查找对象表，进而找到文件信息。以上方法在实际使用中具有局限性，即如果进程关闭或者内存中进程结构信息被覆盖将不能有效定位VAD信息，从而造成文件信息不能恢复。另外，基于页面哈希比较的数据文件提取，该方法计算内存映像中页面哈希，并和磁盘中文件对应页的哈希进行比较，进而提出内存映像中文件碎片，要求取证调查人员必须提前知道磁盘中文件内容，而不能直接从内存映像中提取。此外，当磁盘中文件映射到内存页面时，内存中文件数据还有可能被修改，导致内存页面哈希值不同于磁盘上对应页面，从而造成内存文件提取无效。此外Gao等人研究了实时系统中QQ的取证方法，从中获取通信列表、QQ账号、聊天记录、QQ讨论组、显示名称，该方法通过逆向分析QQ的内存结构来实现，但不具有通用性。另外，内存取证框架和内存取证分析工具套件能够从易失性内存映像中提取取证痕迹，但更多集中于内存映像中进程、线程等结构，以及可执行文件提取。虽然基于磁盘的文件雕刻算法有很多，但是应用实验结果表明，生成的文件雕刻结果几乎全部是虚假结果，精确度极低。综上所述，基于内存映像的碎片数据文件雕刻算法的通用性问题没有得到很好的研究，为了从内存中提取有效的网络犯罪行为相关的文件数据和文件行为，探索物理内存中新的文件雕刻机制具有非常重要的理论意义和现实价值。

发明内容

为此，本发明提供一种基于结构链逆向的内存碎片文件重建方法及系统，利用基于结构链逆向的内存碎片文件雕刻重建来满足电子(数字)犯罪取证实际应用，能够适合于正在运行的基于Windows不同版本操作系统的物理内存中网络入侵行为的数据文件的恢复与分析，具有较强的实用性。

按照本发明所提供的设计方案，一种基于结构链逆向的内存碎片文件重建方法，包含如下内容：

扫描并分析内存介质映像，建立碎片集合到文件碎片子集的映射，获取文件碎片子集中的碎片元素；