仿佛时间静止——检验内存转储的准瞬时一致性
密码学与安全
2023-07-25 v1 编程语言
摘要
在系统运行时获取的内存转储常包含如页面涂抹等不一致性，妨碍分析。避免不一致的一种可能是在获取期间暂停系统并拍摄瞬时内存转储。虽然这对虚拟机可行，但大多数系统无法被冻结，因此理想转储只能是准瞬时的，即系统运行中仍保持一致。本文中，我们引入一种可衡量准瞬时一致性的方法，并从理论与实际两方面表明该方法有效，但现实中转储可以、但通常并非准瞬时一致。为评估，我们运行一个枢轴程序，使其能对其堆的准瞬时一致性进行评价，并精确定位不一致发生之处。
引用
@article{arxiv.2307.12060,
title = {As if Time Had Stopped -- Checking Memory Dumps for Quasi-Instantaneous Consistency},
author = {Jenny Ottmann and Üsame Cengiz and Frank Breitinger and Felix Freiling},
journal= {arXiv preprint arXiv:2307.12060},
year = {2023}
}
备注
In: Proceedings of the Digital Forensics Research Conference USA (DFRWS USA). 2023