[發明專利]基于結構鏈逆向的內存碎片文件重建方法及系統

有效

• 申請號: 202011389437.0
• 申請日: 2020-12-02
• 公開（公告）號: CN112486922B
• 公開（公告）日: 2022-12-06
• 發明（設計）人: 李炳龍;周振宇;王懿;張宇;李媛芳;張和禹;孫怡峰;胡浩;常朝穩
• 申請（專利權）人: 中國人民解放軍戰略支援部隊信息工程大學;開封市科學技術情報研究所;河南云眼科技有限公司
• 主分類號: G06F16/16
• 分類號: G06F16/16;G06F16/17;G06F16/18
• 代理公司: 鄭州大通專利商標代理有限公司 41111
• 代理人: 周艷巧

1.一種基于結構鏈逆向的內存碎片文件重建方法，其特征在于，包含如下內容：

掃描并分析內存介質映像，建立碎片集合到文件碎片子集的映射，獲取文件碎片子集中的碎片元素；

基于操作系統結構逆向分析，構建文件碎片子集中碎片元素的連接關系及邏輯位置，重構內存碎片文件；

利用文件內核對象池分配結構特征，掃描內存碎片集合，確定其中的數據文件個數；利用內核文件對象結構逆向分析來確定內存文件在內存映像中的結構信息，進而構建出內存文件碎片子集；

文件碎片子集和碎片集合S之間構成關系表示為：

其中，0≤i≤k，file_i表示文件碎片子集，k表示內存碎片中數據文件個數；

基于操作系統結構逆向分析，構建文件碎片子集中碎片元素的連接關系及邏輯位置，重構內存碎片文件，包含：利用掃描工具定位內存文件對象并通過重建內存文件對象字段進行文件結構重構的文件對象掃描重建；通過定位數據部分對象中的控制區域結構重構數據文件空間字段及用于索引字節頁面的MMPTE數組結構的文件碎片提取重建；及通過定位共享緩存映射結構并重構變量來依據基地址變量獲取緩存文件信息的緩存文件重建。

2.根據權利要求1所述的基于結構鏈逆向的內存碎片文件重建方法，其特征在于，內存介質映像掃描分析中，先過濾非數據文件內存碎片，其中，所述非數據文件內存碎片包含：包含有0x00/0xFF數據的內存頁面碎片及含有可執行代碼的內存頁面碎片。

3.根據權利要求1所述的基于結構鏈逆向的內存碎片文件重建方法，其特征在于，基于操作系統結構逆向分析，使用內核調試工具對文件對象及相關結構進行逆向分析重建。

4.根據權利要求3所述的基于結構鏈逆向的內存碎片文件重建方法，其特征在于，文件對象及相關結構分析中，首先定位內存映像中的文件對象，通過偏移量確定文件名稱及內存區對象信息；依據內存區對象信息獲取用于維護數據文件的控制區域指針變量；利用控制區域指針變量得到用于管理文件與內存碎片頁面映射的分段結構；通過該分段結構獲取數據文件頁面存儲內容，并結合共享緩存映射結構中緩存管理器來查找數據文件在虛擬地址中的數據。

5.一種基于結構鏈逆向的內存碎片文件重建系統，其特征在于，包含：掃描分析模塊和逆向重構模塊，其中，

掃描分析模塊，用于掃描并分析內存介質映像，建立碎片集合到文件碎片子集的映射，獲取文件碎片子集中的碎片元素；

逆向重構模塊，用于基于操作系統結構逆向分析，構建文件碎片子集中碎片元素的連接關系及邏輯位置，重構內存碎片文件；

利用文件內核對象池分配結構特征，掃描內存碎片集合，確定其中的數據文件個數；利用內核文件對象結構逆向分析來確定內存文件在內存映像中的結構信息，進而構建出內存文件碎片子集；

文件碎片子集和碎片集合S之間構成關系表示為：

其中，0≤i≤k，file_i表示文件碎片子集，k表示內存碎片中數據文件個數；

基于操作系統結構逆向分析，構建文件碎片子集中碎片元素的連接關系及邏輯位置，重構內存碎片文件，包含：利用掃描工具定位內存文件對象并通過重建內存文件對象字段進行文件結構重構的文件對象掃描重建；通過定位數據部分對象中的控制區域結構重構數據文件空間字段及用于索引字節頁面的MMPTE數組結構的文件碎片提取重建；及通過定位共享緩存映射結構并重構變量來依據基地址變量獲取緩存文件信息的緩存文件重建。

6.一種計算機可讀存儲介質，其上存儲有計算機程序，其中，該程序被處理器執行時執行權利要求1～4任一項所述的方法。

7.一種計算機設備，包含處理器和存儲器，所述存儲器存儲有能夠被所述處理器執行的機器可執行指令，所述處理器執行所述機器可執行指令以執行權利要求1～4任一項所述的方法。