內(nèi)存鏡像中Word文本證據(jù)分析.pdf

1、網(wǎng)絡(luò)和科技的發(fā)展給人們的工作和生活帶來了極大的便利，與此同時，也給計算機犯罪帶來了可乘之機。計算機取證技術(shù)，可以有效打擊計算機和網(wǎng)絡(luò)犯罪，為提高社會穩(wěn)定和維護法律秩序提供了強有力的支持，在信息安全領(lǐng)域起到重要作用。
　　 計算機取證分為離線取證和在線取證兩種方式，在線取證的出現(xiàn)彌補了離線取證的不足，由于在錢取證的內(nèi)容大都儲存在計算機內(nèi)存之中，所以對物理內(nèi)存的取證分析就顯得尤為重要，通過內(nèi)存取證可以獲取當(dāng)前的進程信息等傳統(tǒng)離線方式

2、難以獲取的證據(jù)信息。內(nèi)存取證是計算機取證的補充和輔助，能夠為計算機犯罪案件的偵破提供一種重要的線索。在內(nèi)存取證當(dāng)中，文檔的提取工作顯得越來越重要，論文就選取較為普遍的Word文檔提取進行研究。
　　 為了提取Word文本證據(jù)，論文分析了Windows內(nèi)存管理模式，采用基于EPROCESS特征的物理內(nèi)存查找方法，找出頁目錄基地址，并根據(jù)虛擬地址描述符提取活動進程空間。然后論文根據(jù)場景需要設(shè)計了兩種提取Word文本韻方法。第一種方法