一种基于实时响应的遍历用户地址空间的方法

摘要

本发明涉及一种基于实时响应的遍历用户地址空间的方法。本发明首先对计算机的系统版本和配置文件进行确定；然后根据配置文件导入内核符号，与VAD树中的节点信息相匹配，解析出内存映射文件、共享内存、堆栈缓冲区和保留系统结构等相关元数据；通过PEB结构遍历NT堆和段堆；通过PCB遍历线程栈；最后进行输出内存分配起止地址、占用大小、分配保护、内存类型和详细信息。本发明的遍历用户地址空间的方法能够有效完整的遍历出Windows10的内存地址空间，有助于明确其详细信息，能够减少取证分析人员检测、定位和提取恶意代码的工作量，减少安全事件响应所需的时间。