谷歌浏览器隐私模式的用户浏览数据恢复

对谷歌浏览器多进程技术的工作原理及其源码进行了研究,分析了浏览器进程空间中的数据,设计了一种谷歌浏览器隐私模式下的用户浏览数据恢复方案。该方案依据进程EPROCESS结构中的成员信息,提取隐私模式谷歌浏览器所有进程的内存空间数据,将每个浏览器进程的内存空间数据与目标浏览数据的模板进行匹配,从而恢复出用户使用隐私模式的谷歌浏览器上网产生的浏览数据。实验结果表明,该方案可以从内存镜像中恢复用户的浏览数据。     

基于EPROCESS特征的物理内存查找方法

为了快速定位目标活动进程,提取对应的物理内存数据,分析了Windows系统中进程运行时其EPROCESS结构的特性及作用,提出了基于EPROCESS特征的物理内存查找方法.该方法利用EPROCESS结构的特性,定位出活动进程的EPROCESS结构,找出进程页目录基地址,并根据虚拟地址描述符的功能,提取活动进程物理内存.实验结果表明,该方法能快速、有效地定位活动进程,提取出活动进程物理内存,缩小取证分析范围,提高取证效率.