CMD命令执行记录调查方法研究  

Research on the Method of CMD executed record investigation

作　　者：罗文华[1] 

机构地区：[1]中国刑事警察学院计算机犯罪侦查系,沈阳110854

出　　处：《刑事技术》2013年第1期31-34,共4页Forensic Science and Technology

基　　金：公安部应用创新计划项目(2011YYCXXJXY121)

摘　　要：作为计算机犯罪侦查中重要的证据与线索来源,CMD命令执行记录在揭示犯罪分子行为细节方面发挥着重要作用。本文在详细分析CMD命令执行记录于内存中的数据存储结构基础上,着重说明基于Win-dows操作系统内存转储文件的历史记录重建方法,并对过程中涉及到的具体技术与注意事项予以阐述。In this paper, the data structure of CMD record executed in RAM was analyzed and the reconstruct method of history record based on dump file in Windows was introduced.

关 键 词：命令提示符 数据结构 虚拟地址 物理地址 DOSKEY 

分 类 号：DF793.2[政治法律—诉讼法学]