基于图匹配和链表导向的内核数据结构取证技术

摘要

从内存镜像中识别内核数据结构的技术广泛应用于安全领域,具有非常重要的作用.当前的一种重要取证方法即指针指向图Signature存在void指针、NULL指针、同构等问题.针对这些问题,提出了一种新的内核数据结构取证方法.该取证方法区分双向链表指针与一般指针,在Signature的构造过程中优先选择双向链表指针.与以前的技术相比,依据新取证方法构建的识别器具有识别精度高、识别速度快、鲁棒性强等优点.