[发明专利]一种虚拟化环境中的windows内核基地址及编译版本识别方法

摘要

本发明涉及一种虚拟化环境中的windows内核基地址及编译版本识别方法，基于虚拟机反省技术的内核定位是以虚拟机反省技术为基础，分析出当前操作系统使用的内存架构和当前虚拟机内核空间地址对应的物理内存；以内存页为单位读取PE文件信息，分析属于内核空间的物理内存页，判断页开始是否为可执行文件的魔数“MZ”；基于PE结构分析的加载镜像识别是根据所述的基于虚拟机反省技术的内核定位步骤中定位的PE起始地址，获取镜像调试段数据；通过对内存中调试信息段的分析获取在编译时生成的调试文件名称和PE文件唯一编译标示。本发明的有益效果是：稳定的获取开启内存地址空间随机化的Windows虚拟机内核基地址；实现了获取Windows虚拟机运行操作系统的详细编译版本。

主权项

1.一种虚拟化环境中的windows内核基地址及编译版本识别方法，其特征在于：包括基于虚拟机反省技术的内核定位和基于PE结构分析的加载镜像识别两个部分；所述的基于虚拟机反省技术的内核定位包括：虚拟机反省技术为基础，开始状态下读取CR4寄存器数据，获取当前内存分页结构，以这些数据为基础读取CR3寄存器数据，获取当前内核空间对应物理地址范围；从内核空间低地址开始，假设其为PE文件起始地址，分析出当前操作系统使用的内存架构和当前虚拟机内核空间地址对应的物理内存，所述的内存架构包括32位模式、32e模式或64位模式；之后从PE文件起始地址开始，以内存页为单位读取PE文件信息，分析属于内核空间的物理内存页，判断DOS前两个字节是否为魔数“MZ”，即判断页开始是否为可执行文件的魔数“MZ”；如果是则判定该页起始地址为镜像加载的起始地址，否则以页为单位自增PE文件起始地址后进入重新以页为单位读取PE文件信息状态；所述的基于PE结构分析的加载镜像识别是根据所述的基于虚拟机反省技术的内核定位步骤中定位的PE起始地址，获取镜像调试段IMAGE_DEBUG_DIRECTORY数据，读取IMAGE_DEBUG_TYPE_CODEVIEW数据段信息并分析其PE头及调试信息段；通过对内存中调试信息段的分析获取在编译时生成的调试文件名称和PE文件唯一编译标示。