目前多数恶意代码取证方法只是单一检测内存或磁盘,无法全面准确地获取恶意代码的犯罪痕迹,并且多数方法得到的是一系列零散独立的行为,难以对恶意行为进行整体分析。针对上述问题设计了一种恶意代码行为取证分析方法,结合了内存取证和磁盘取证以及关联分析,能够更深入和全面的对恶意代码进行分析取证。恶意代码行为取证分析方法分为四个模块:证据数据获取模块、内存取证分析模块、磁盘取证分析模块和综合关联分析模块。证据数据获取模块负责获取恶意代码运行前、中、后多个时期虚拟机的内存数据、磁盘文件及虚拟机内部时间,为有效应对TOC-TOU攻击,提出了多粒度的取证触发机制。内存取证分析模块负责分析获得的虚拟机内存数据,从内核对象中提取恶意代码产生的行为并进行可疑识别。磁盘取证分析模块负责分析获得的虚拟机磁盘文件,从NTFS文件系统中提取恶意代码产生的文件操作行为并进行可疑识别。综合关联分析模块负责将所有从内存和磁盘中提取的行为进行综合关联分析,最终重建恶意代码攻击过程时间线,并进行攻击过程可视化。根据以上方法实现原型系统,同时选取50个恶意代码样本对原型系统进行测试,并将实验结果与知名病毒分析引擎Virus Total进行比较,验证原型系统的准确性和全面性。结果显示原型系统能检测出进程创建、互斥量创建、文件隐藏等绝大多数恶意样本行为,且在GUI行为和文件操作行为检测方面有更好的检测效果。此外,与Virus Total只能检测到独立零散行为不同,原型系统能按时间线还原完整的恶意代码攻击过程并进行攻击过程可视化,因此能更好地帮助安全分析人员从整体上对恶意代码的整个行为过程进行把握。