everal new features of Windows 7 ma

everal new features of Windows 7 may provide new challenges for memory investigation, and also offer opportunities for acquiring more forensically sensitive information which can be recovered and extracted from the memory image file. This paper analyzed the new features in Windows 7 and developed the memory analysis method according to these new features. The method is based on the data structure in windows which is known as Kernel Processor Control Region (KPCR). Details of address translation from virtual address to physical address are presented, including three steps: acquisition of KPCR structure, acquisition the address of CR3 register and address translation algorithm. Running processes, object type and registry can be extracted by this method. It is verified on 32-bit Windows 7 and 64-bit Windows 7.

ผลลัพธ์ (ไทย) 1:

everal คุณลักษณะใหม่ของ Windows 7 อาจให้ความท้าทายใหม่สำหรับตรวจสอบหน่วยความจำ และยัง มีโอกาสในการรับข้อมูลที่ละเอียดอ่อนมากขึ้น forensically ซึ่งสามารถกู้คืน และแยกจากไฟล์รูปภาพหน่วยความจำ กระดาษนี้คุณลักษณะใหม่ใน Windows 7 วิเคราะห์ และพัฒนาวิธีการวิเคราะห์หน่วยความจำตามคุณลักษณะใหม่เหล่านี้ วิธีการขึ้นอยู่กับโครงสร้างข้อมูลใน windows ซึ่งเรียกว่าเป็นเคอร์เนลตัวประมวลผลควบคุมภูมิภาค (KPCR) รายละเอียดของการแปลที่อยู่จากที่อยู่เสมือนที่อยู่ทางกายภาพที่ปรากฏ รวมสามขั้นตอน: การจัดโครงสร้างของ KPCR ซื้อลงทะเบียนอยู่ของ CR3 และอัลกอริทึมการแปลที่อยู่ ใช้กระบวนการ ชนิดของวัตถุ และรีจิสทรีสามารถสกัด โดยวิธีนี้ ตรวจสอบบน Windows 7 32 บิตและ 64 บิต Windows 7

ผลลัพธ์ (ไทย) 2:

คุณสมบัติใหม่ everal Windows 7 อาจให้ความท้าทายใหม่สำหรับการตรวจสอบหน่วยความจำและยังมีโอกาสในการรับรู้ข้อมูลข่าวสารที่มีความสำคัญมากขึ้น forensically ซึ่งสามารถกู้คืนและสารสกัดจากไฟล์ภาพความทรงจำ กระดาษนี้วิเคราะห์คุณสมบัติใหม่ใน Windows 7 และพัฒนาวิธีการวิเคราะห์หน่วยความจำตามคุณลักษณะใหม่เหล่านี้ วิธีการที่จะขึ้นอยู่กับโครงสร้างข้อมูลในหน้าต่างที่เป็นที่รู้จักกันเป็นโปรแกรมควบคุมภาค Processor (KPCR) รายละเอียดของการแปลที่อยู่จากที่อยู่เสมือนที่อยู่ทางกายภาพจะถูกนำเสนอรวมทั้งสามขั้นตอนการเข้าซื้อกิจการของโครงสร้าง KPCR ซื้ออยู่ของ CR3 ลงทะเบียนและการแปลที่อยู่อัลกอริทึม กระบวนการทำงานชนิดของวัตถุและสตรีสามารถสกัดโดยวิธีนี้ มันมีการยืนยันบน 32 บิต Windows 7 และ Windows 64-bit 7

ผลลัพธ์ (ไทย) 3:

คุณสมบัติใหม่ของ Windows 7 อาจให้ everal สอบสวนความท้าทายใหม่ และยังมีโอกาสรับข้อมูลเพิ่มเติม forensically ละเอียดอ่อนซึ่งสามารถกู้คืนและสารสกัดจากไฟล์ภาพความทรงจำ บทความนี้วิเคราะห์คุณลักษณะใหม่ใน Windows 7 และพัฒนาหน่วยความจำวิธีการวิเคราะห์ตามคุณลักษณะใหม่เหล่านี้ โดยอาศัยโครงสร้างข้อมูลใน Windows ซึ่งเป็นที่รู้จักกันเป็นเขตควบคุมประมวลผลเคอร์เนล ( kpcr ) รายละเอียดของการแปลที่อยู่ จากที่อยู่เสมือนที่อยู่ทางกายภาพจะถูกนำเสนอ รวมทั้งสามขั้นตอน : การได้มาของโครงสร้าง kpcr การจัดหาที่อยู่ที่ลงทะเบียนทางเคมีและที่อยู่ขั้นตอนวิธีการแปล การใช้กระบวนการพิมพ์วัตถุและรีจิสทรีที่สามารถสกัดได้โดยวิธีนี้ มันคือการตรวจสอบบน Windows 7 32 บิตและ 64 บิต Windows 7