内存数据的硬取证主要有四种方法。第一种是Carrier和Grand ^[4]提出的使用“ Tribble” 硬件扩展卡获取物理内存。此方法不会改变系统内存且操作简便, 但是要提前将设备安装到目标计算机中, 现实中难以实现, 无法广泛使用。第二种是通过Fire Ware ^{[5, 6]}进行提取。使用Fire Ware可以不经过CPU直接访问系统内存（DMA）, 然后利用外部软件直接获取系统内存镜像。但是此方法有两个缺点：一是通过Fire Ware提取内存镜像可能导致系统挂机或者部分内存丢失; 二是可能导致系统蓝屏, 会改变部分内存的偏移地址。第三种是通过崩溃转储, 就是将运行中的计算机蓝屏, 使计算机自动将内存转储, 从而获得转储内存文件。这种方式包括三种转储模式：自动转储^[7]、小内存（64 KB）转储 ^[8]和完全转储^[9]。自动转储和小内存转储都无法获得完整的内存数据, 只有将系统设置为完全转储时, 才能获得完整内存数据。第四种是Windows操作系统进入休眠时, 系统的电源管理组件会自动对系统物理内存进行压缩, 将压缩的内存数据存放在系统分区根目录的Hiberfil.sys文件中, 但是经过压缩后无法完全获得之前的内存数据。

利用软件实现物理内存数据提取是常见的方法。根据物质交换原理^[10], 使用软件对物理内存提取会使内存产生变化, 所以小且运行时占用内存少的内存提取软件较适合应用于内存数据的软取证。对常用的四款软件进行测试对比结果如表1所示。

表1

Table 1

表1(Table 1)

表1 物理内存提取软件的综合分析 Table 1 Four pieces of common software extracting physical memory 软件名称 软件大小 提取文件格式 提取文件大小/G DumpIt 202KB raw格式 5.0 MagnetRAMCaptur 280KB dmp格式 5.0 Winpmem 2.09MB img格式 2.0 RamCapturer 1.5MB mem格式 5.0

表1 物理内存提取软件的综合分析 Table 1 Four pieces of common software extracting physical memory

从表1可看出, DumpIt和MagetRAMCaptur软件自身较小, 占用内存较小, 提取内存数据较为全面, 是软取证的优先选择工具。

volatility软件是当前使用最广泛的内存取证分析工具, 它可以在Linux, Windows系统上运行并对提取的镜像内存进行分析, 可以识别动态内存所在的虚拟地址块以及偏移量、进程和DLL、进程具体信息、内核内存情况、网络连接状态、注册表信息、崩溃转储、休眠文件和文件内容, 从而确定木马在目标计算机的运行机制、攻击情况等。

为模拟通过U盘传播木马病毒后, 对目标计算机进行攻击的情景, 设计了木马攻击的流程与取证的流程如图1、图2。

图1

Fig.1

	Figure Option ViewDownloadNew Window
	图1 模拟木马攻击流程图Fig.1 Course for Trojan to assault in simulation

图2

Fig.2

	Figure Option ViewDownloadNew Window
	图2 取证分析流程图Fig.2 Forensic analysis into the process of Trojan attack

木马病毒对目标计算机模拟攻击后, DumpIt取证软件对内存数据在线提取, volatility实现对内存中的注册表以及进程等方面取证分析。通过查找木马病毒在计算机内存运行的进程, 确定木马病毒在计算机的位置, 以及通过木马病毒运行时加载的DLL、对系统的改变与对计算机注册表的改变, 与镜像提取的注册表文件进行对应分析, 从而为分析木马病毒攻击证据的查找固定起到快速定位的作用。

3.2.1 实验环境

安装VMware虚拟机, 利用虚拟机安装全新的Windows8.1系统, 使用kali（linux）系统, 制作木马病毒。因为未对木马病毒进行免杀和加壳处理, 所以实验前对Windows8.1系统关闭防火墙和Windows Defender。

1）VMware Workstation虚拟机环境：内存2 G, 处理器4核, 硬盘（SCSI）30 G, 网络适配器（桥接模式）, usb控制器, 声卡, 打印机, 显示器。

2）Windows8.1系统环境：安装VMware Workstation tool, 在桌面新建桌面文档, 关闭防火墙, 关闭Windows Defender。

3.2.2 实验仿真过程

将木马病毒win8_flash.exe拷贝到U盘中, 插入虚拟机中, 将木马Win8_flash.exe复制到桌面, 打开客户端kali系统, 输入客户端的IP：192.168.43.88和端口443等, 等待木马程序启动。然后点击木马程序, 木马程序将自动连接客户端, 而且服务端的shell和用户权限将被客户端获取。此时, 通过在客户端输入cmd命令对服务端计算机进行攻击。获得权限后, 如图3所示, 对服务端计算机桌面的文档执行删除命令。

图3

Fig.3

	Figure Option ViewDownloadNew Window
	图3 木马攻击计算机Fig.3 Trojan hijacking its attacked computer

1）潜在木马分析。为了确定木马病毒win8_flash.exe, 按照如下步骤检测木马病毒。

第一步, 使用DumpIt内存取证工具, 执行内存转储, 将服务端计算机的内存在线提取出来。

第二步, 通过Windows任务管理器检查除常见Windows系统外的其他进程, Win8_flash.exe占用目标计算机的内存较大, 初步怀疑Win8_flash.exe是恶意进程。

第三步, 使用“ netstat -nab” 命令查看计算机的网络连接、端口占用和程序运行的详细信息, 发现Win8_flash.exe将目标计算机的443端口打开进行通信。443端口为网页浏览端口, 一般程序不会打开此端口进行通信。

2）内存数据分析。为进一步确定木马病毒Win8_flash.exe的特性, 将提取的内存用volatility软件进行分析, 分析步骤如下。

第一步, 使用imageinfo命令以识别操作系统、Service Pack、硬件结构体系（32或64位）以及DTB地址和内存提取时间等, 从而分析确定内存所在的物理内存位置, 以便作进一步的分析。

第二步, 使用filescan命令, 输出显示Win8_flash.exe的FILE_OBJECT的物理偏移量, 指向对象的指针数, 指向该对象的句柄数以及授予该对象的有效权限。此步骤确定win8_flash.exe进程隐藏位置在\Device\HarddiskVolume2\User\Desktop文件夹中以及在物理内存块的真实位置, 且发现该进程具有读与写的权限。具有该项权限是高危的。

第三步, 使用volatility通过pslist命令列出系统的所有进程进行查看。将显示PsActiveProcessHead变量地址指向的双向链接列表, 并显示进程启动和退出时的偏移量、进程名称、进程ID, 父进程ID、线程数、句柄数和日期/时间。如图4, 可以得知win8_flash.exe进程攻击时的偏移量为0xfffe00000960900, 进程ID为2388, 父进程为3136, 还有攻击时间2017-09-24 , 15：32：11。

第四步, 进一步查看木马病毒进程加载的DLL。通过命令将输出PEB的InLoadOrderModuleList指向_LDR_DATA_TABLE_ENTRY结构的双向链接列表。当进程调用LoadLibrary（或其他进程, 如LdrLoadDll）时, DLL将自动添加到此列表中, 并且直到FreeLibrary被调用并且引用计数达到零为止, 它们才被删除。通过负载计数列可知DLL是否被静态加载（即由于存在于exe或其他DLL的导入表中）或动态加载。由图4可知, win8_flash.exe通过Windows操作系统提供了API函数, 通过LoadLibrary调用了cmd.exe进程。

通过以上分析, 发现win8_flash.exe程序通过打开443端口进行通信, 具有随意读写的权限且可以获取目标计算机权限, 通过系统API函数调用其他进程, 如CMD等, 具有很强的破坏性, 所以确定win8_flash.exe程序为木马病毒。

3）注册表的对应分析。除此之外, 还需要对内存中运行的注册表进行调查分析, 查找内存中CMHIVE（注册表配置单元）的物理地址, 以便查看是否有其他异常键值的改变, 是否能与对目标计算机注册表分析的结果相互对应。为在物理内存中查找注册表配置单元的虚拟地址以及磁盘上相应配置单元的完整路径, 使用hivelist命令, 将显示内存中注册表HIVE的键值, 以便查看HIVE的地址。然后进一步查看是否存在内存中注册表中移动设备的键值, 与移动设备的ID相对应。从内存取证分析实验结果图5, 可以得知, 携带恶意进程的U盘插入被入侵的计算机中, 分配的盘符为D, 图5中REG_BINARY对应所示数值代码是移动存储设备的类ID（UID）, 也是区别移动存储设备的唯一序号。此序号为3517aeb8-22a4-11e8-8252-00c29ffb897。进一步对注册表具体的键值进行分析可得知写入的时间, 关联的文件信息等。Volatility和注册表的对照分析如表2所示。

图4

Fig.4

	Figure Option ViewDownloadNew Window
	图4 进程加载的DLLFig.4 DLL loaded into process

图5

Fig.5

	Figure Option ViewDownloadNew Window
	图5 U盘盘符与键值Fig.5 Drive letter of U-disk and the allocated key values

表2

Table 2

表2(Table 2)

表2 Volatility和注册表的对照分析 Table 2 Comparative analysis from volatility and the registry 相关信息 物理内存 注册表 是否对应 计算机名称 有 有 对应 版本信息 有 有 对应 木马进程 有 未知 未知 U盘盘符 有 有 对应 注册表U盘键值 有 有 对应

表2 Volatility和注册表的对照分析 Table 2 Comparative analysis from volatility and the registry

实验结果由表2可知, 在本研究中, 在模拟木马攻击目标计算机后的取证分析结果有计算机基本信息、版本信息、进程信息和U盘信息等等。在这些信息中, 能够相互对应的有计算机基本信息、版本信息和U盘信息。木马进程因为对注册表分析不够深入, 未能获取有效信息。相互对应的计算机取证分析信息能够起到进一步固定内存信息的作用, 使得内存证据在法庭上得到支持。而不能对应的信息则可以与证据相互补充, 本身计算机的调查取证应尽可能提取更多证据, 且物理内存信息无法涵盖计算机的所有信息。