1.2 国内外研究现状

1.2.1 Linux内存取证研究现状在对计算机系统进行取证调查时,具备获取和分析物理内存(RAM)数据的能力是至关重要的。因为,物理内存中不仅保存有最近运行程序、打开文件以及访问网络等操作所留下的痕迹信息,并且还能检索到一些只在内存中出现且未曾保存到硬盘上的数据信息,例如恶意代码入侵的痕迹信息以及磁盘加密文件的解密密钥等易失性数据信息。与此类似的是,在进行Android手机取证调查时,同样需要具备获取和分析物理内存(也称作运行内存)数据的能力。由于Android系统是基于Linux内核开发的,因此可以把Linux内存取证的研究思路和方法借鉴到Android物理内存取证的研究工作中。

  1. Linux内存的获取方法获取Linux内存镜像传统的方法是在dev/mem目录下使用dd命令获取物理内存的映射文件,但只可以获取到物理内存前896MB的数据。如果物理内存的大小超过896MB,则无法获取完整的内存数据。随着Linux内核安全机制的增强,从内核版本Linux 2.6开始这种方法便在所有的Linux系统发行版中被禁止了。为了获取物理内存中完整的内容,J. SylveA. Case[3]开发了可导入内核模块LiME(以前被称为DMD)[4],取证调查人员把该内核模块加载到系统内核就可以获取到Linux和Android系统的完整内存(RAM)镜像。这虽然被公认为目前最好的方法,但是加载...