内存取证

(6) 基于系统冷启动的内存获取方法

该方法的原理如下:在系统关机后,物理内存RAM用于保存数据的电磁信号并没有即刻消失.通过利用液氮冷却相关物理内存条,则其中所保存信息的消磁时间将会延长.在冷启动后,利用专门定制的内核模块就能获取物理内存中残留的信息该方法尽管能够获取部分物理内存数据用于事后取证分析,但存在如下缺陷:

① 受环境温度影响大,易丢失信息;② 要求操作及时,实现较困难;③ 无法适用于实时内存取证.

基于EPROCESS对象的取证分析方法如下:在Windows内核中,每个运行的进程都有一个与之相对应的EPROCESS结构,以存储与该进程运行相关的各种资源信息.所有活动进程的EPROCESS都连接在一起,构成一个双向链表.通过表头PsActiveProcessHead,就能枚举该链表中的所有进程.该方法的不足是:如果攻击者利用DKOM技术修改进程内核对象EPROCESS结构中希望隐藏进程的FLINK和BLINK指针,从而将其从列表中删除,则将无法查找到被隐藏的进程.

基于KPCR的内存取证分析是通过KPCR®KPRCB®_KTHREAD®_KAPC_STATE®EPROCESS的顺序找到当前执行进程的EPROCESS结构,再根据此结构中的FLINK和BLINK指针遍历PsActiveProcessList链表,找到所有的运行进程.此方法与基于EPROCESS方法的区别在于查证的起点不同,但殊途同归,因此其缺点也一样:无法查找到利用DKOM技术隐藏的进程.

基于VAD的内存取证分析方法如下:对于每个进程,Windows内存管理器维护了一组VAD,由它们来描述该进程地址空间的状态.Windows使用平衡二叉树来管理VAD对象.进程EPROCESS结构中的VadRoot域指向此树的根.通过该树中的MMVAD类型节点,能够得到一个重要的指向控制区对象的指针ControlArea.而控制区对象与文件对象、内存区对象都是互指的,因此通过该指针顺藤摸瓜,能够获取与当前执行进程相关的可执行文件信息.该方法的不足是:无法查证到利用DKOM技术隐藏的VAD树节点信息.