1、隨著信息技術(shù)的發(fā)展，計算機(jī)與網(wǎng)絡(luò)成為社會政治、經(jīng)濟(jì)、文化生活的重要組成部分，而與此相關(guān)的各種計算機(jī)犯罪現(xiàn)象也日益突出。計算機(jī)取證技術(shù)成為打擊計算機(jī)犯罪的重要手段，是目前計算機(jī)界和法學(xué)界共同研究、關(guān)注的重點。 本文介紹了計算機(jī)取證技術(shù)的現(xiàn)狀和發(fā)展情況，比較了現(xiàn)有的計算機(jī)取證模式，分析了離線取證模式的不足，指出了在線取證模式研究的必要性。物理內(nèi)存取證是在線取證的重要環(huán)節(jié)，也是當(dāng)今的研究熱點。本文旨在研究物理內(nèi)存取證中的物理內(nèi)存鏡像獲

2、取技術(shù)。現(xiàn)有技術(shù)是在用戶態(tài)打開\Device\PhysicalMemory內(nèi)核對象來訪問物理內(nèi)存，然而在Windows2003及Vista等版本下，用戶態(tài)訪問此內(nèi)核對象受到限制，只有通過內(nèi)核態(tài)才能訪問。因此，需要通過驅(qū)動程序的方法。本文開發(fā)的基于內(nèi)核驅(qū)動的物理內(nèi)存鏡像獲取工具，可以解決DD等當(dāng)前取證工具在Windows高端版本下使用受限的問題。 研究物理內(nèi)存，首先要了解Windows操作系統(tǒng)內(nèi)存管理機(jī)制。Windows操作系統(tǒng)采

3、用請求分頁的虛擬存儲管理技術(shù)，通過在虛擬地址空間的頁與物理地址空間的頁之間建立映射，實現(xiàn)虛擬地址到物理地址的變換。地址變換過程由內(nèi)存管理單元（MMU）自動完成，但是對取證過程中的數(shù)據(jù)比對分析，需要手工完成地址變換過程。以往的研究對地址變換的描述都是基于X86體系模型，與當(dāng)前大量使用的采用物理地址擴(kuò)展（PAE）模式的XP系統(tǒng)并不完全吻合。本文結(jié)合Windows XP SP2版本提出地址變換公式。同時，由于一直以來大量的相關(guān)文獻(xiàn)都依賴微軟所

4、頒布的技術(shù)資料，僅以虛擬地址空間的觀點來解釋虛擬地址轉(zhuǎn)換的過程，無法解釋任意進(jìn)程的虛擬地址，如何映射到物理地址空間中。本文使用進(jìn)程和物理內(nèi)存的觀點來研究地址變換，清晰的說明了任意進(jìn)程的虛擬地址空間如何在物理地址空間中定位。 本文結(jié)合Windows系統(tǒng)結(jié)構(gòu)，闡述了內(nèi)核驅(qū)動程序訪問物理內(nèi)存的基本原理，依照驅(qū)動程序基本框架，開發(fā)了內(nèi)核驅(qū)動程序和用戶態(tài)調(diào)用程序，來獲取物理內(nèi)存鏡像，并提供了程序的核心代碼。然后，對實驗結(jié)果進(jìn)行了分析評價。