翟继强, 陈攀, 徐晓, 杨海陆

(哈尔滨理工大学 计算机科学与技术学院, 黑龙江 哈尔滨 150080)

近年来，黑客经常通过网络传播恶意程序，当计算机染上恶意程序时，计算机内存会留下恶意活动痕迹[1-2]，这时通过内存取证技术就可以捕获到这些痕迹并落实网络犯罪的数字证据。段堆中含有进程运行时生成的重要信息，提取出段堆中的信息可以了解进程的运行情况，因此对段堆的内存取证研究在信息安全的防护领域意义重大。

目前，对堆的内存取证研究根据操作系统的不同可分为基于Linux系统的堆取证研究、基于安卓环境的堆取证研究、基于Windows 7系统的堆取证研究。在Linux系统中， Block研究了glibc库创建的堆结构，使用了堆结构定位及关键字段偏移法复现堆内部信息，解决了标签搜索不准确问题[3]。在安卓系统中，张俊芙研究出了3种提取堆信息的方法，分别为：把目标值做为搜索对象进行搜索；使用相关对象定位引用对象和同类对象；使用目标数据猜测法搜索目标数据[4]。在Windows 7系统中， Cohen研究了NT堆中低碎片化堆的创建并且使用硬件PTE解析算法，复现NT堆中无效页面信息[5]。

然而，上述的堆取证研究并没有针对Windows 10系统中的段堆，通过现有的内存取证技术不能重现段堆信息，进而不能获取针对段堆的堆溢出攻击的取证信息。同时段堆尚未在MSDN文档上公开而且目前对段堆结构的研究还并不充分，因此需要进一步研究段堆结构。为了弥补这些缺陷，本文研究了多个版本的Windows 10段堆并且提出一种利用池扫描技术识别内核对象，再结合字段信息偏移定位的方法，提取段堆内部信息。……