一种物理内存镜像中文本数据文件提取方法

摘要

本发明公开了一种从物理内存镜像中提取文本数据文件的方法，利用eprocess结构特征值及它们之间的偏移量搜索出notepad.exe进程的eprocess结构，获取进程的页目录基地址；获取文本数据描述信息、内存中的标示信息，通过操作系统地址转换的原理，准确获取notepad.exe进程中的文本数据。本发明可用于数据恢复、数据提取、计算机取证等方面。

主权项

一种物理内存镜像中文本数据提取方法，其特征在于：包括以下步骤：从配置文件中获取notepad进程存储文本数据的虚拟地址空间的起始虚拟页号s，以及存储文本数据大小的虚拟空间的起始虚拟地址n；获取进程的页目录基地址，通过eprocess结构特征值搜索notepad.exe进程的eprocess结构，根据eprocess结构在指定偏移位置处获取页目录基地址；根据存储文本数据大小的虚拟地址空间的起始虚拟地址n，通过页目录基地址实现地址转换，从对应的物理地址处向后搜索特征值“ffffffff”，获取文本数据在内存中的字符数，计算出文本数据的大小；根据文本数据大小计算文本数据在notepad.exe进程中的虚拟页区间；通过地址转换读取虚拟页区间内所有页面的数据，通过文本数据起始标志和文件大小，获取文本数据;所述eprocess结构特征值包括：在eprocess结构偏移位置+0x078处，有8个字节的0；在eprocess结构偏移位置+0x1b2处，有2个字节的值为0x7ffd；在eprocess结构偏移位置+0x24c处，有4个字节的值为0x00000103;所述获取页目录基地址具体为：根据eprocess结构特征值以及偏移位置，在内存镜像中搜索出所有正在运行的进程的eprocess结构；在eprocess结构中偏移位置+0x174处搜索出notepad.exe进程的eprocess结构；在notepad.exe进程的eprocess结构偏移位置+0x18处读取4个字节的数据，得到页目录基地址。