动态取证是计算机数据取证系统的重要一环,内存分析是动态取证系统的核心。由于各个厂家对内存数据的保护,使得取证过程尤为困难。作为目前市场占有率最高的X64架构的Windows 7操作系统,微软对其内存结构增加了许多保密措施,导致内存获取与分析难度更大,目前的研究,都没能针对该操作系统提出完善的取证方法。本文主要研究在Windows 7 X64 SP1模式下的内存取证方法。提出了一种基于虚拟地址特征的内核变量定位算法,可以准确定位内核变量的位置,基于该算法针对打开过的进程,进程调用的模块,访问的文件,内存页内容,打开了的网站,发送的邮件以及即时通讯的内容等进行了取证分析,辅助判断计算机是否被入侵或者该计算机使用者的上机与上网行为。研究过程中,提出了一个基于MmPhysicalMemoryBlock的内存快速导出算法,这个算法能在不影响计算机正常使用的前提下,导出全部取证所需内存数据。最后,将以上过程建立可视化的界面,通过交互的方式呈现,达到快速取证的目的。