[发明专利]基于K P C R结构的Windows系统物理内存分析方法

摘要

本发明公开了一种Windows系统物理内存的分析方法。本发明基于KPCR结构体和CR3寄存器内容，在内存镜像文件文件中搜索KPCR结构体，以该结构体为基础查找到CR3寄存器内容，以CR3寄存器内容确定内存页模式，然后转换内存虚拟地址为物理地址；根据内存镜像文件中的系统版本信息确定所获得KPCR和CR3的正确性，若正确，即可相应得到内核信息中的进程信息和驱动信息。本发明提供了一种能够准确地实现虚拟地址到物理内存地址转换，且能够准确查找系统进程、系统模块信息的Windows系统物理内存分析方法。

主权项

1. 一种基于KPCR结构的Windows系统物理内存分析方法，其包括以下步骤：1)在Windows内存镜像文件中按照KPCR结构体的结构特征搜索KPCR结构体；2)根据所获得KPCR结构体确定KPCR的物理地址和用于定位系统版本信息的KdVersionBlock指针地址；3)根据所述KPCR物理地址查找CR3寄存器中的内容，确定其指向的物理地址；4)依据上述CR3寄存器物理地址第一字节内容判断内存页模式；5)根据所得内存页模式按照Intel处理器地址转换方式获取内存分页虚拟地址所对应的物理地址和所述KdVersionBlock指针的物理地址；6)依据所述KdVersionBlock指针物理地址查找内存镜像位置在此地址处的系统版本信息的系统子版本号；7)验证上述系统子版本号与微软所发布的系统子版本号是否一致，若一致则所获得的KPCR结构体和CR3寄存器的地址正确，根据KdVersionBlock后的内核变量获取系统驱动信息和进程信息；若错误，且KdVersionBlock指针未到文件尾，文件指针后移0x100后在Windows内存镜像文件中继续搜索KPCR结构体。