[发明专利]一种Pico进程对象取证方法、装置、设备及存储介质

说明书

本申请公开了一种Pico进程对象取证方法、装置、设备及存储介质，涉及计算机取证领域，包括：扫描目标内存池，并判断目标内存池是否满足第一判断条件；若满足第一判断条件，则遍历目标内存池中的待判定进程对象，根据第二判断条件判断遍历到的当前待判定进程对象是否为Pico进程对象；若当前待判定进程对象为Pico进程对象，则获取当前待判定进程对象的目标取证数据，并将目标取证数据保存至预设存储器；若当前待判定进程对象不是Pico进程对象，则重新跳转至遍历目标内存池中的待判定进程对象的步骤，直到所述目标内存池中的所有待判定进程对象均遍历完毕。这样一来，可以通过判断内存池中的对象是否满足条件来确定Pico进程对象，以实现对Pico进程对象的取证。

技术领域

本发明涉及计算机取证领域，特别涉及一种Pico进程对象取证方法、装置、设备及存储介质。

背景技术

随着计算机系统的不断发展，各种类型的恶意软件也不断地涌现，在Windows10系统新增设的WSL(Windows Subsystem for Linux，适用于Linux的Windows子系统)机制出现不久，便出现了对应的Bashware恶意软件，这些软件与传统恶意软件相比功能相似，但由于Pico进程不具有传统NT进程的典型特征，因此Pico进程能够轻松绕过安全产品的检测。由此可见，对Pico进程内部数据的探究，能够将分析方法集成到安全产品中，能够扩大其检测范围，并能够辅助安全研究人员解决由WSL引入的新的安全问题。

现有技术中针对Windows10系统中的传统NT进程的分析方法较为全面，能够有效定位Windows 10系统中的进程堆、栈、线程、动态链接库等信息，对于传统的NT进程中的数据能够有效提取，但是现有技术目前还无法兼容Pico进程，无法对Pico进程对象的数据进行取证。

发明内容

有鉴于此，本发明的目的在于提供一种Pico进程对象取证方法、装置、设备及存储介质，可以通过判断内存池中的对象是否满足条件来确定Pico进程对象，然后对Pico进程相关的内核文件进行逆向分析，找出与Pico进程有关的数据和函数，然后获取Pico进程的线程、句柄、共享库等进程数据，得到Pico进程的关键数据，以完成针对Pico进程对象的取证。其具体方案如下：

第一方面，本申请公开了一种Pico进程对象取证方法，包括：

扫描目标内存池，并判断所述目标内存池是否满足第一判断条件；

若满足所述第一判断条件，则遍历所述目标内存池中的待判定进程对象，根据第二判断条件判断遍历到的当前待判定进程对象是否为Pico进程对象；

若所述当前待判定进程对象为Pico进程对象，则获取所述当前待判定进程对象的目标取证数据，并将所述目标取证数据保存至预设存储器，并判断遍历是否完成；

若所述当前待判定进程对象不是Pico进程对象，则重新跳转至所述遍历所述目标内存池中的待判定进程对象的步骤，直到所述目标内存池中的所有待判定进程对象均遍历完毕。

可选的，所述扫描目标内存池，并判断所述目标内存池是否满足第一判断条件，若满足则遍历所述目标内存池中的若干待判定进程对象，包括：

基于预设扫描方式扫描所述目标内存池；所述预设扫描方式为以双字节为单位的扫描方式；

判断所述目标内存池的地址是否满足预设目标地址；

判断所述目标内存池的内存大小是否满足预设有效范围；

判断所述目标内存池的地址池类型是否满足预设地址池类型；

若均满足，则对所述目标内存池中的所述若干待判定进程对象进行遍历。

可选的，所述根据第二判断条件判断遍历到的当前待判定进程对象是否为Pico进程对象，以确定目标判断结果，包括：