论文研究-基于进程组织的Linux内存取证分析.pdf-其它代码类资源-CSDN下载

论文研究-基于进程组织的Linux内存取证分析 .pdf

所需积分/C币：10 2019-08-16 11:15:31 246KB .PDF
7

收藏
举报

基于进程组织的Linux内存取证分析，高宇航，，内存作为数字证据的重要来源，研究还处于起步阶段。Linux平台下的内存取证工作首要解决的问题是定位进程的位置，才能根据查找到的�
国技论文在线 http://www.paper.edu.cn -+t-RueAAH 4111一 DILv 图进程通过挂接到各个链表作为内核全局变量被导出,查找如下在实验环境中,根据内核版本的不同将昳射到物理地址。然后根据的成员遍历所有进程。因为进程控制块都是处于內核空间的,因此在遍历过程中的地址转换郗可以用宏实现。散列组织在需要遍历所有进程的吋候,使用线性衣就可以满足需求。但当系统常需要根据进程号査找进程,若通过遍历的方法查找,时间量级是显然时间耗费过大。使用哈希表为基础的进程队列米实现快速定位进程地址。在进程创建的过程中,当分配好进程号后, 先对进程号进行散列,以哈希值为下表在杂凑表中招到一个队列,再顺着该队列就可以比较容易的找到特定的进程内核定义了一个进程哈希表: 同时定义了哈希表的大小可见,杂凑表的大小为每个进程通过指向的指针链入到某个哈希队列中。内核通过宏和函数分别计算哈希值并将进程添加到某个哈希队列中: 国技论文在线 http://www.paper.edu.cn 综上所述,进程通过哈希表的组织如下所示: 山此,可以得出下根据哈希表查找进程的方法根据内核符号表查找变量的虚拟地址。使用宏映射的虚拟地址到物理地址。每次读哈希表个字节。若则遍历此链表。否则,读下一个结构,直到读完该表对进程散列表做了较大的改进,首先是在结构中引入了结构,撤销」了而撤销了和指针。是作为表专用的单指针表头双循坏链表,的表头仅有一个指向首节点的指针,而没有指向尾节点的指针结构连接方式如图所示其次是定义了更为复杂的结构如下所示使的计数进程号通过此链衣挂接到的哈希链上。可以通过成员的点连接到应表上同时,进程描述符加入了数组结构的成员以匹配进程描述符中的成员, 为,定义如下所示: 结构定义如下 hIis nod hlis: node hist nod己 hist head PPI Prev Prev 每个进程在创建的时候会调用分配结构,同时通过结构的成员连接进入相应的哈希队列的。而在函数中,通过建立起结构和新建进程以及其他进程的联系,具体联系是通过建立的。同时,如果进程也希望链入国技论文在线 http://www.paper.edu.cn 进程组或会话组,可以通过的或链入进程结构的相应队列。最后, 定义成指向结构数组的指针,并且数组的大小由计算, 指向的数组通过引导内存分配器分配内存综上所述可以建立起进程散列表的结构图,如图所示。对于可以得到根据进程散列表查找进稈的方法、定义仝局变量用于存放找到的进程。根据内核符号表查找变量的虚拟地址使用地址转换映射的虚拟地址到物理地址,取其值就是结构数组的虚拟地址、每次读哈希衣结构个字节,若转向。否结构,直到读完该表 pruss I pid: [ C-rod pids[c-node Lesko pid: []->rode pid:[ ]->node tasks[ 图组织结构、根据计算结构中的的佰,该值指冋进程描述符中的成员。这样就可以根据成员的偏移得到的地址。同时,从的节点开始遍历哈希链表,查找进程。对和进行相同操作。找到的进程若不与中的进程重复,则放到中其他结构进程的组织结构是复杂的,除了上述的哈希表和双向链表外。进程还有家谱式的组织结构,以及根据进程是否在就绪队列的组织结构。但是对于家谱式的组织结构来说,遍历起来复杂;对」就绪队列来说,不能完全枚举出系统中所冇的进程,因为处」睡眠状态、僵死状态和其他状态的进程都不在此刎中。但是,对于恶意进程常常会修改进程的组织结构,但是个进程如果希望得到运行·定要被加入到调度器的队列中。可以通过遍历队列遍历所有的进程的调度算法定义了一个全局数据结构该结构实际上是一个双向链表结构。调度器需要选择最佳调度进程会遍历这个就绪队列,选择最佳进程时间复杂度为进程措述符通过挂接到这个就绪队列中。国技论文在线 http://www.paper.edu.cn 采用新的调度机制,将就绪队列定义为·个复杂的数据结构成员是其中最关键的数据结构。每个的就绪队列按时间片是否用完分为两部分,分别通过指针和指针访问, 指向时间片没用完、当前可被调度的就绪进程, 指向时间片已用完的就绪进程。每一类就绪进程都用一个的结构表示如下: 本进程组小的进程数以优先级为索引的表加速以表访问的位图每个处于就绪队列的进程都通过结构的成员连接到相应的队列中。每当进程进行调度吋,就会从优先级数组中选取优先级最高的进程运行实验结果本文分别针对和编写了稈序,并分别针对虚拟机下的内存文件、内存转储工具获得的内存映像进行了分析。不同内核版本的进程描述符结构不尽相同,但只需要较少的代码修改就可以适应其他内核版木。同目录下列出进程比较的枚举了当前系统中的活动进程,既包括内核线程也包括用户进程。但是, 无论是根据线性链表还是散列表搜索得到的进程数目要远多于录下枚举的进程数日。在用户进行正常操作后,统计得到的下进程数日是,而通过线性链表和散列表搜索的数口达到和。这两种搜索得到的进程不仅包括活动进程,而且囊括了僵死、 (可中断睡眠)、不可中断睡眠)、退出等状态。线性链表和散列表的比较每个正常运行的进稈都会连接到这两个链表中。实验证明,无论是在还是内核下,通过线性链表和散列表定位进程得刭的进程数目不一样,但是差别比较小由于进程的创建、退出以及链入线性链表和散列表都需要时间,一个进程可能在某个时刻在线性链表而不再散列表中,反之亦然。例如,在进程执行调用退出吋,会先从线性链衣中拖链。然后要结束执行的进程通过向父进程发出信号,告知父进程了进程将退出。父进程在调用中等待,调用将进程从散列表中脱除,同时释放进程描述符。时序上的不同步,使得遍历线性链表和散列表会产生差别。入侵检测上述方法不仅可以应用于内存取证分析,而且可以用于入侵检测。因为所有的进国技论文在线 http://www.paper.edu.cn 程都需要链入到这些队列中去,遍历链表、链表、进程家谱以及就绪队列就可以查找出内存中创建的所有进程。而当前的恶意程序隐藏进程的方式通常是挂钩相应的内核函数,或是直接操作内核对象的方式,很难直接从所有的进程关系网中全部脱离出去。即使脱离了,由于诈多内核函数需要遍历全部进程以选择最适合进程,那么恶意程序就需要挂钩更多的内核函数而使自己有机会执行。同时,上述方法的地址转换是简单易行的,且直接从内存中抽取进程结构解析,因此不必担心恶意软件钩挂内核函数的问题。结束语如何针对计算机犯罪进行取证是计算机安全领域中重要的问题。传统的取证技术已经不能满足当今的取证需求。本文着眼于内存取讦,根据进程的组织结构查找线性队列和散列表査找进稈。实验证明这种方法可以査找普通进稈、系统线稈、陀藏的进程和正在退出的进程。同时,取证人员查找到进程以后,可以根据进程进一步分析,获得用户打开的文件列表、建立的网络连接等,为计算机取证提供有力支持参考文献第三版美国, 白洛,李俊奎,刘森林译虚拟内存管理第一版北京北京航空航天大学出版

...展开详情

电子证据

试读 7P 论文研究-基于进程组织的Linux内存取证分析 .pdf