内存地址转换技术在电子数据取证中的应用  

作　　者：郑志翔[1] 贺一峰[1] 

机构地区：[1]新疆警察学院,新疆乌鲁木齐830013

出　　处：《河南科技》2014年第8期9-11,共3页Henan Science and Technology

摘　　要：近年来,随着网络犯罪日益猖獗,网络犯罪分子的技术水平也日渐提升。他们为了应对计算机取证技术,往往通过加密、隐藏或擦除等方法使敏感数据消失,更有甚者会通过避免向硬盘介质写入数据的方式,完全基于内存实现恶意行为。在这种情况下,内存就成了外存之后新的取证热点,从而吸引了越来越多的关注。作为现代操作系统的关键技术之一,内存地址转换技术在内存信息取证调查工作中发挥着十分重要的作用。所谓内存地址转换,主要指虚拟地址与物理地址转换。在电子数据取证过程中,获得内存中重要信息(如可执行文件名称及参数、被访问文件与文件夹、IP地址及域名等)的虚拟地址之后,往往需要将其转化为物理地址才能获取真正有价值的证据或线索,以揭示犯罪分子更深层次的行为细节。

关 键 词：命令提示符 DOSKEY 数据结构 虚拟地址 物理地址 

分 类 号：TP333.1[自动化与计算机技术—计算机系统结构]