基于EPROCESS特征的物理内存查找方法

• 作者: 敬凯 田庆宜 董振兴 陈龙
• 来源期刊: 重庆邮电大学学报（自然科学版）
• 学科: 工学
• 关键词: 计算机取证 EPROCESS 进程 内存
• 年，卷（期）: 2013,（1）
• 所属期刊栏目: 计算机与自动化
• 页码范围: 122-125,131
• 页数: 5页
• 分类号: TP309
• 字数: 3466字
• 语种: 中文
• DOI: 10.3979/j.issn.1673-825X.2013.01.020

摘要

为了快速定位目标活动进程,提取对应的物理内存数据,分析了Windows系统中进程运行时其EPROCESS结构的特性及作用,提出了基于EPROCESS特征的物理内存查找方法.该方法利用EPROCESS结构的特性,定位出活动进程的EPROCESS结构,找出进程页目录基地址,并根据虚拟地址描述符的功能,提取活动进程物理内存.实验结果表明,该方法能快速、有效地定位活动进程,提取出活动进程物理内存,缩小取证分析范围,提高取证效率.

作者信息

序号	姓名	单位	发文数	被引次数	H指数	G指数
1	陈龙	重庆邮电大学计算机取证研究所	56	544	12.0	21.0
2	田庆宜		5	26	3.0	5.0
3	董振兴	重庆邮电大学计算机取证研究所	11	63	5.0	7.0
4	敬凯	重庆邮电大学计算机取证研究所	1	12	1.0	1.0