[发明专利]一种Mac OS系统的物理内存镜像文件分析方法无效
| 申请号： | 201110209546.4 | 申请日： | 2011-07-26 |
| 公开（公告）号： | CN102279877A | 公开（公告）日： | 2011-12-14 |
| 发明（设计）人： | 顾卫东;徐丽娟;王连海;武鲁;张淑慧 | 申请（专利权）人： | 山东省计算中心 |
| 主分类号： | G06F17/30 | 分类号： | G06F17/30;G06F12/02 |
| 代理公司： | 济南泉城专利商标事务所 37218 | 代理人： | 李桂存 |
| 地址： | 250014 山东省济*** | 国省代码： | 山东;37 |
| 权利要求书： | 查看更多 | 说明书： | 查看更多 |
| 摘要： | 本发明的MacOS系统的物理内存镜像文件分析方法，包括：a.判断系统版本信息，确定指向内核进程地址空间的最高级页表的指针；b.获取内核符号表和字符串表，通过内核映像文件在物理内存镜像文件中的副本找到内核符号表和字符串表，进而获取物理内存镜像文件中包含的系统配置信息、挂载的文件系统信息、进程信息以及驱动信息；c．获取指向系统中各个任务的最高级页表的指针。步骤b通过对物理内存镜像文件中内核映像文件副本的分析，来获取符号表和字符串表。本发明克服了现有技术内核映像文件获取方式繁琐复杂、地址转换方法不可靠、信息获取不全面的缺点；易于获取进程、驱动、挂载的文件系统等信息，有利于MacOS系统计算机内存取证的研究。 | ||
| 搜索关键词： | 一种 mac os 系统 物理 内存 文件 分析 方法 | ||
【主权项】：
一种Mac OS系统的物理内存镜像文件分析方法，其特征在于，包括以下步骤：a. 从Mac OS系统的物理内存镜像文件中，判断系统版本信息，进而确定指向内核进程地址空间的最高级页表的指针，内核进程地址空间的最高级页表用于实现内核虚拟地址向物理地址的转换；b. 获取内核符号表和字符串表，通过内核映像文件在物理内存镜像文件中的副本找到内核符号表和字符串表的虚拟地址，通过分析内核符号表及字符串表可以获得内核变量名及其对应的变量值，内核变量名及其对应的值用于获取物理内存镜像文件中包含的系统配置信息、挂载的文件系统信息、进程信息以及驱动信息；c．获取指向系统中各个任务的最高级页表的指针，此处获得的各个任务的最高级页表不仅可以实现内核进程地址空间虚拟地址向物理地址的转换，还可以实现除内核进程之外的其他进程地址空间虚拟地址向物理地址的转换。
下载完整专利技术内容需要扣除积分，VIP会员可以免费下载。
该专利技术资料仅供研究查看技术是否侵权等信息，商用须获得专利权人授权。该专利全部权利属于山东省计算中心，未经山东省计算中心许可，擅自商用是侵权行为。如果您想购买此专利、获得商业授权和技术合作，请联系【客服】
本文链接：http://www.vipzhuanli.com/patent/201110209546.4/，转载请声明来源钻瓜专利网。
