[發明專利]一種用于內存數據的模糊檢索方法和系統

有效

• 申請號: 202011227160.1
• 申請日: 2020-11-06
• 公開（公告）號: CN112269804B
• 公開（公告）日: 2022-05-20
• 發明（設計）人: 許全聰;吳少華;連慧奇;吳江煌;彭玄寧;吳世雄
• 申請（專利權）人: 廈門美亞億安信息科技有限公司
• 主分類號: G06F16/2455
• 分類號: G06F16/2455;G06F16/903;G06F16/242;G06K9/62
• 代理公司: 廈門福貝知識產權代理事務所(普通合伙) 35235
• 代理人: 陳遠洋

本發明給出了一種用于內存數據的模糊檢索方法和系統，包括獲取目標數據在內存中的位置，定位目標數據所在的內存特征數據塊，并導出不同版本和/或不同用戶登陸下的內存鏡像；基于內存特征數據塊使用模糊匹配算法提取內存鏡像中的內存特征數據塊；循環比對所有內存特征數據塊中的所有字節，保留不變的字節，并將變換的字節替換為固定值，獲得內存特征矩陣；基于待定位目標數據的內存特征矩陣在內存中的位置，偏移定位到目標。該方法和系統在一些電子數據取證產品或案件中，能對快速的定位內存中的重要數據。

技術領域

本發明涉及計算機技術應用領域，尤其是一種用于內存數據的模糊檢索方法和系統。

背景技術

隨著信息技術的發展以及人們在生活中對各式各樣信息服務需求的增長，越來越多的行為由線下轉為線上，由此所產生的電子數據也越來越多地具有了證據效力。其中內存中的目標數據起著重要的作用，例如是電子數據通常都會加密保存，提取內存的密鑰成為了電子數據取證的關鍵點，然而同一個程序可能存在的多個版本，內存中的數據通常在代碼中的位置不固定，造成定位內存目標數據經常需要手工完成，因此需要尋找一種通用的內存模糊檢索方法以便快速的定位到內存中的密鑰。

現有技術中，在定位內存中的目標數據時，主要是通過人工分析代碼、動態調試及靜態分析等手段進行分析，分析完后使用內存中的一段特殊數據進行內存掃描定位，一段特殊數據可能是一段代碼等，會存在以下問題：1、人工參與度大，效率較低；2、通過一段特殊數據定位不夠穩定，代碼通常是隨著程序的版本變化而變化的。

發明內容

為了解決現有技術中定位內存中的目標數據時人工參與度大，效率低，定位不夠穩定的技術問題，本發明提出了一種用于內存數據的模糊檢索方法和系統。

在一個方面，本發明提出了一種用于內存數據的模糊檢索方法，包括以下步驟：

S1：獲取目標數據在內存中的位置，定位目標數據所在的內存特征數據塊，并導出不同版本和/或不同用戶登陸下的內存鏡像；

S2：基于內存特征數據塊使用模糊匹配算法提取內存鏡像中的內存特征數據塊；

S3：循環比對所有內存特征數據塊中的所有字節，保留不變的字節，并將變換的字節替換為固定值，獲得內存特征矩陣；以及

S4：基于待定位目標數據的內存特征矩陣在內存中的位置，偏移定位到目標。

在一些具體的實施例中，內存特征數據塊包括目標地址的數據塊，且內存特征數據記錄目標地址在內存特征數據塊中的內部偏移。憑借所記錄的內存特征數據塊中的內部偏移可以便于后續目標數據塊的定位。

在一些具體的實施例中，步驟S2中的模糊匹配算法具體包括：在內存鏡像中每偏移一個字節的大小提取一個內存塊與目標數據的內存特征數據塊進行比較，按偏移遍歷內存鏡像，獲取與目標數據的內存特征數據塊相似值最大的內存鏡像的內存特征數據塊。通過獲取相似值最大的內存鏡像的內存特征數據塊可以獲取要查找的特征數據塊。

在一些具體的實施例中，相似值的計算方式具體為：對內存鏡像中每偏移一個字節的大小提取一個內存塊與目標數據的內存特征數據塊按字節進行比較，字節相等時內存塊的相似值加一。通過逐個偏移比對能夠全面地對內存特征數據塊進行檢索比對。

在一些具體的實施例中，步驟S4中具體包括：導出待定位目標數據的內存鏡像，定位內存鏡像中與內存特征矩陣對應的位置，并根據內存特征數據記錄的內部偏移獲取到目標數據。

在一些具體的實施例中，定位內存鏡像中與內存特征矩陣對應的位置的方式具體為：內存鏡像每次偏移一個字節的大小和內存特征矩陣按字節進行比較，比較時跳過內存特征矩陣的固定值部分，比對內存特征矩陣中包含特征值的部分，如果所有的特征值相同，則定位到目標數據塊。對特征值進行比較可以獲得程序的多個版本多種狀態下提取的內存鏡像。