面向Windows 8物理内存镜像文件的内存取证技术研究
| 摘要 | 第1-4页 |
| ABSTRACT | 第4-8页 |
| 1 绪论 | 第8-13页 |
| ·研究背景 | 第8-9页 |
| ·研究现状 | 第9-11页 |
| ·国外研究现状 | 第9-10页 |
| ·国内研究现状 | 第10-11页 |
| ·本文主要工作 | 第11-12页 |
| ·本文章节安排 | 第12-13页 |
| 2 Windows 取证技术 | 第13-19页 |
| ·计算机取证相关概念 | 第13-14页 |
| ·计算机取证定义 | 第13页 |
| ·计算机取证技术 | 第13-14页 |
| ·取证类型 | 第14-16页 |
| ·离线取证技术 | 第14-15页 |
| ·在线取证技术 | 第15-16页 |
| ·取证的原则和步骤 | 第16-18页 |
| ·计算机取证基本原则 | 第16-17页 |
| ·计算机取证一般步骤 | 第17-18页 |
| ·Windows 8 系统概述 | 第18页 |
| ·本章小结 | 第18-19页 |
| 3 Windows 内存管理 | 第19-37页 |
| ·内存管理概述 | 第19-21页 |
| ·系统内存池 | 第21页 |
| ·虚拟地址空间 | 第21-23页 |
| ·页式内存管理 | 第23-29页 |
| ·页式管理概述 | 第23-26页 |
| ·物理地址扩展 | 第26页 |
| ·PAE 关闭模式 | 第26-27页 |
| ·PAE 开启模式 | 第27-29页 |
| ·段式内存管理 | 第29-32页 |
| ·地址转译实例 | 第32-36页 |
| ·本章小结 | 第36-37页 |
| 4 内存信息获取 | 第37-63页 |
| ·内核对象 | 第37-41页 |
| ·内核对象概述 | 第37-38页 |
| ·内核对象演变 | 第38-41页 |
| ·句柄 | 第41-44页 |
| ·对象句柄概述 | 第41-42页 |
| ·句柄表 | 第42-44页 |
| ·进程内部机制 | 第44-52页 |
| ·数据结构分析 | 第44-50页 |
| ·进程创建流程 | 第50-52页 |
| ·线程内部机制 | 第52-56页 |
| ·数据结构分析 | 第53-55页 |
| ·线程创建流程 | 第55-56页 |
| ·进程线程信息提取 | 第56-58页 |
| ·进程线程信息提取流程 | 第56-58页 |
| ·模块信息提取流程 | 第58页 |
| ·对象句柄信息提取 | 第58-60页 |
| ·实验 | 第60-62页 |
| ·实验环境 | 第60页 |
| ·实验结果及分析 | 第60-62页 |
| ·本章小结 | 第62-63页 |
| 5 总结与展望 | 第63-64页 |
| ·工作总结 | 第63页 |
| ·下一步工作 | 第63-64页 |
| 致谢 | 第64-65页 |
| 参考文献 | 第65-68页 |
| 附录 | 第68页 |
| A. 作者在攻读硕士学位期间发表的论文目录 | 第68页 |
| B. 作者在攻读硕士学位期间参加的科研项目 | 第68页 |
