基于哈希表查找TCP连接的Linux内存取证分析  

作　　者：高宇航[1] 高珩[1] 纪永强[1] 鲍鹏[1] 

机构地区：[1]中国矿业大学计算机科学与技术学院,江苏徐州221116

出　　处：《硅谷》2009年第20期92-,共1页

摘　　要：内存作为数字证据的重要来源,研究还处于起步阶段。Linux平台下的内存取证工作首要解决的问题是定位进程的位置,才能根据查找到的进程做进一步分析,获得用户打开的文件列表、建立的网络连接等。针对这一问题,分析内存高速缓冲区机制,提出根据slab和slub缓冲区查找进程的方法。实验证明,这种方法不仅可以用于Linux内存取证中查找隐藏的进程、系统线程、曾经执行过的进程,还可以用于如今检测查找恶意进程。

关 键 词：电子证据 LINUX 计算机取证分析 物理内存取证 

分 类 号：TP316.81[自动化与计算机技术—计算机软件与理论]