基于KPCR结构的Windows系统物理内存分析方法

摘要

本发明公开了一种Windows系统物理内存的分析方法。本发明基于KPCR结构体和CR3寄存器内容，在内存镜像文件文件中搜索KPCR结构体，以该结构体为基础查找到CR3寄存器内容，以CR3寄存器内容确定内存页模式，然后转换内存虚拟地址为物理地址；根据内存镜像文件中的系统版本信息确定所获得KPCR和CR3的正确性，若正确，即可相应得到内核信息中的进程信息和驱动信息。本发明提供了一种能够准确地实现虚拟地址到物理内存地址转换，且能够准确查找系统进程、系统模块信息的Windows系统物理内存分析方法。