针对进程用户空间的电子数据取证方法研究

• 作者: 罗文华
• 来源期刊: 中国司法鉴定
• 学科: 工学
• 关键词: 进程用户空间 电子数据取证 进程环境块 线程环境块 虚拟地址描述符
• 年，卷（期）: 2014,（5）
• 所属期刊栏目: 鉴定实践
• 页码范围: 64-68
• 页数: 5页
• 分类号: TP274
• 字数: 1735字
• 语种: 中文
• DOI: 10.3969/j.issn.1671-2072.2014.05.013

摘要

进程用户空间中的信息往往与特定用户的特定操作行为直接关联,对于证据链的建立意义重大.从数目繁多的用户空间数据结构中筛选出最重要的三种:进程环境块、线程环境块与虚拟地址描述符,说明其定位方法,并重点讨论其结构格式的电子数据取证特性,为内存空间电子数据取证提供了新的思路与方法.实例分析部分,则以目前广泛使用的Windows 7操作系统为应用背景,说明了所述方法的具体应用.

作者信息

序号	姓名	单位	发文数	被引次数	H指数	G指数
1	罗文华	中国刑事警察学院网络犯罪侦查系	62	118	5.0	7.0