| 摘要 | 第1-6页 |
| ABSTRACT | 第6-10页 |
| 1 绪论 | 第10-12页 |
| ·研究背景 | 第10页 |
| ·研究目的和意义 | 第10-11页 |
| ·研究目标和内容 | 第11页 |
| ·论文结构 | 第11-12页 |
| 2 相关技术综述 | 第12-22页 |
| ·计算机取证技术 | 第12-14页 |
| ·计算机取证的定义 | 第12-13页 |
| ·计算机取证的基本原则 | 第13-14页 |
| ·计算机取证的过程 | 第14页 |
| ·计算机取证的技术 | 第14页 |
| ·虚拟计算技术 | 第14-19页 |
| ·虚拟计算的定义和特征 | 第14-15页 |
| ·虚拟计算的常见架构分类 | 第15-17页 |
| ·常见的虚拟计算产品分类 | 第17页 |
| ·虚拟计算的应用场景 | 第17-18页 |
| ·虚拟计算环境的局限性 | 第18-19页 |
| ·现有的虚拟计算取证技术 | 第19-22页 |
| ·虚拟计算取证技术分类 | 第19页 |
| ·基于虚拟机的磁盘（镜像）启动技术 | 第19-21页 |
| ·以虚拟机为取证对象的计算机取证技术 | 第21-22页 |
| 3 对虚拟机动态启动取证技术的应用改进 | 第22-39页 |
| ·对虚拟机动态启动取证技术使用范围的扩展 | 第22-28页 |
| ·Live View 的使用对象范围 | 第22-23页 |
| ·电子取证中对镜像格式的实际应用需求 | 第23页 |
| ·EWF-E01 系列格式分析 | 第23-28页 |
| ·EWF-E01 系列格式的转换工具 | 第28页 |
| ·虚拟机动态启动取证技术的应用实例和实验结果 | 第28-39页 |
| ·改进的虚拟机动态启动取证技术的原理流程 | 第28-29页 |
| ·应用实例和实验结果 | 第29-37页 |
| ·经验总结和对反取证技术的分析 | 第37-39页 |
| 4 以虚拟机为取证目标的取证分析研究 | 第39-67页 |
| ·虚拟机的虚拟磁盘文件的取证分析 | 第39-52页 |
| ·虚拟磁盘文件格式介绍 | 第39-50页 |
| ·虚拟磁盘文件取证方法 | 第50-52页 |
| ·虚拟机的内存镜像文件的取证分析 | 第52-67页 |
| ·传统内存（镜像）取证方法 | 第52-55页 |
| ·虚拟机内存（镜像）的产生及其原理 | 第55-56页 |
| ·基于地址转换和关键内核数据的虚拟机VMEM 内存镜像文件取证分析方法 | 第56-62页 |
| ·方法实现及实验结果 | 第62-67页 |
| 5 总结与展望 | 第67-69页 |
| ·本文工作总结 | 第67页 |
| ·展望 | 第67-69页 |
| 参考文献 | 第69-71页 |
| 致谢 | 第71-72页 |
| 攻读学位期间发表的学术论文 | 第72页 |