内存取证技术的研究及应用

摘要	第1-7页
ABSTRACT	第7-12页
第一章 绪论	第12-18页
·研究背景及意义	第12-13页
·国内外研究现状	第13-16页
·论文主要工作	第16页
·论文的结构安排	第16-18页
第二章 内存取证技术相关知识	第18-26页
·物理内存镜像的获取方法	第18-20页
·基于硬件的物理内存镜像获取方法	第18-19页
·基于软件的物理内存镜像获取方法	第19-20页
·WINDOWS 内存管理方式	第20-23页
·x86 地址空间布局结构	第20-21页
·地址转换方法	第21-23页
·默认情况下的地址转换	第21-22页
·PAE 模式下的地址转换	第22-23页
·NTFS 文件系统	第23-25页
·NTFS 简介	第23页
·NTFS 基本布局结构	第23-25页
·NTFS 数据流描述	第25页
·本章小结	第25-26页
第三章 进程概要信息提取及隐藏进程检测方法的研究	第26-46页
·进程遍历方法的研究	第26-33页
·基于进程链的进程遍历方法的研究	第26-30页
·相关内核结构的分析	第26-28页
·基于进程链的进程遍历方法的实现	第28-29页
·进程遍历结果	第29-30页
·基于内核结构特征的进程遍历方法的研究	第30-33页
·相关数据结构的分析	第30-31页
·基于内核结构特征的进程遍历方法的实现	第31-32页
·进程遍历结果	第32-33页
·进程模块信息遍历方法的研究	第33-37页
·主要数据结构分析	第34-35页
·进程模块信息遍历方法的实现	第35-36页
·进程模块数据提取结果	第36-37页
·隐藏进程检测方法的研究	第37-45页
·用户模式下的进程隐藏技术的研究	第38-39页
·内核模式下的进程隐藏技术研究	第39-43页
·直接内核对象操作方式	第39-40页
·内核钩子技术	第40-43页
·隐藏进程查找方法的研究	第43-45页
·查找使用挂钩技术隐藏的进程	第43页
·变身成 DLL 的隐藏进程查找方法	第43页
·查找通过直接修改内核对象隐藏的进程	第43-45页
·本章小结	第45-46页
第四章 进程详细数据提取方法的研究	第46-56页
·进程堆数据提取方法的研究	第46-52页
·相关内核数据结构分析	第46-48页
·进程堆数据提取方法的实现	第48-50页
·PAE 模式下的地址转换	第48-49页
·进程堆数据的提取方法	第49-50页
·实验结果	第50-52页
·页面文件提取方法的研究	第52-55页
·页面文件概述	第52页
·页面文件提取方法的实现	第52-55页
·主文件表的定位	第53-54页
·页面文件的文件记录的定位	第54-55页
·页面文件的物理地址的定位	第55页
·本章小结	第55-56页
第五章 进程数据中证据查找方法的研究	第56-68页
·直接可读数据的查找方法	第56-57页
·加密内存数据的查找方法	第57-61页
·异或加密过的内存数据的查找方法	第57-59页
·BASE64 编码数据的分析	第59-61页
·BASE64 编码之后的内存数据的查找方法	第60-61页
·特定文件格式编码的内存数据查找方法	第61-67页
·PDF 文件格式的研究	第62-66页
·PDF 文件的读取方法	第62-64页
·PDF 内置对象的分析	第64-66页
·PDF 格式编码的内存数据的查找方法	第66-67页
·本章小结	第67-68页
第六章 内存取证技术的应用	第68-75页
·直接内存取证	第68-72页
·电子邮件数据的取证	第69-70页
·PDF 文档数据的取证	第70-72页
·恶意代码检测中的应用	第72-74页
·本章小结	第74-75页
第七章 总结与展望	第75-77页
·本文的主要贡献	第75-76页
·下一步工作的展望	第76-77页
致谢	第77-78页
参考文献	第78-81页