检索结果-南通市图书馆

检索条件"主题词=页交换文件"

共 1 条记录，以下是1-10 订阅

全选清除本页清除全部题录导出标记到"检索档案"

详细简洁

排序：

内存取证工具的研究与实现

内存取证工具的研究与实现

引用

作者：桑厅上海交通大学

学位级别：硕士

随着信息技术的飞速发展，计算机和互联网逐渐成为了社会生活各个领域的重要组成部分。一方面它们的出现极大地便利了人们的生活和工作，另一方面，它们也越来越多地被不法分子用于从事非法活动。而计算机取证技术作为打击计算机犯罪的... 详细信息

随着信息技术的飞速发展，计算机和互联网逐渐成为了社会生活各个领域的重要组成部分。一方面它们的出现极大地便利了人们的生活和工作，另一方面，它们也越来越多地被不法分子用于从事非法活动。而计算机取证技术作为打击计算机犯罪的重要手段之一，应该做到与时俱进，以充分发挥打击犯罪的作用。计算机在线取证是计算机司法取证的一个重要组成部分，在很多方面都有着不可替代的地位,而计算机内存取证作为在线取证的最重要环节，也是当今的电子取证研究的热点之一。本文从物理内存和虚拟内存两个方面，研究并提出了计算机内存取证活动中系统内存的信息获取技术和方法，开发出了两个实用、有效的内存取证工具。本文研究工作包括以下两个方面： 1）研究提出了基于进程冻结的物理内存取证方法，开发了相应的工具。很多现有的物理内存获取的研究都是基于通过在用户态下直接打开内核对象来访问并获取物理内存，然而在新版本的Windows操作系统都无法直接访问内核对象。而且现有的工具多数并不是专门为取证活动而开发，因而在一定程度上使用获取到的内核镜像文件缺乏证据力。本文在分析Windows内核驱动程序访问物理内存的基本原理的基础上，综合考虑计算机取证活动的特殊需求，提出了基于进程冻结的物理内存取证方法，并开发了PhyMmDumper工具。与win32dd和DumpIt工具的比对实验表明，该工具在性能上具有一定的优势。 2）研究提出了基于卷影复制服务的虚拟内存取证方法，开发了相应的工具。现有的取证工具中都只关注系统物理内存的获取和分析，而忽略了页交换文件的重要作用。本文分析了Windows操作系统内存管理机制以及现有的获取页交换文件的原理和流程，研究并提出了一种新的基于卷影复制服务的虚拟内存取证方法。这种方法最大的特点在于服务本身是由微软提供的，在可信度上比其它工具所采用的基于强制复制的方法要高很多，而且在原理上也符合取证活动中的要求。在此基础上开发了PagefileCopy工具。实验表明，工具能够在开机的状态下快速地获取系统交换文件。目前，上述两个内存取证工具已在公安部第三研究所开始试用，获得了良好的用户反馈。

关键词：计算机取证在线取证内核驱动页交换文件卷影复制服务

来源：

同方学位论文库评论

在线全文

同方学位论文库

学校读者我要写书评

暂无评论

全选清除本页清除全部题录导出标记到“检索档案”

共1页 << < 1 > >>

回到顶部

执行限定条件

欢迎您,

建议与咨询留下您的常用邮箱和电话号码，以便我们向您反馈解决方案和替代方法

时间限定

文献类型

馆藏选择

核心期刊

语言

文献类型

帮助

文字说明：

检索规则说明：

检索范例：

分类表

所选分类

限定检索结果

文献类型

馆藏范围

日期分布

学科分类号

主题

机构

作者

语言

在线全文

请选择保存的检索档案：

请选择收藏分类：

通借通还

欢迎您,

建议与咨询 留下您的常用邮箱和电话号码，以便我们向您反馈解决方案和替代方法

时间限定

文献类型

馆藏选择

核心期刊

语言

文献类型

帮助

文字说明：

检索规则说明：

检索范例：

分类表

所选分类

限定检索结果

文献类型

馆藏范围

日期分布

学科分类号

主题

机构

作者

语言

在线全文

请选择保存的检索档案： 新增检索档案 确定 取消

请选择收藏分类： 新增自定义分类 确定 取消

通借通还

建议与咨询留下您的常用邮箱和电话号码，以便我们向您反馈解决方案和替代方法

请选择保存的检索档案：

请选择收藏分类：