随着计算机硬件、软件技术的快速发展和信息技术在各行各业的普及，当今利用计算机等相关电子设备进行犯罪的手段和类型日趋复杂化、多元化，这对人们的日常生活和工作构成了极大的威胁。为了有效打击这些利用高科技的犯罪，在取证调查分析中，如何进行最大限度地获取计算机犯罪的相关电子证据，已成为信息安全领域一个新的热点，而解决这一问题的有效途径被称作计算机取证。计算机取证包括离线取证技术和在线取证技术。在线取证技术中基于物理内存镜像文件的内存取证分析是近年来研究的热点课题，目前正处于快速发展阶段，还尚未形成一套完整的系统理论和方法。另外，由于Windows系统更新换代，系统内核中的数据结构以及内部管理机制的改变，导致目前的计算机取证工具并不能正确地提取分析出Windows8系统中的进程、线程和对象句柄等信息。针对上述情形，本文主要研究Windows8下基于物理内存镜像文件的内存取证，论文的主要工作如下所示：①通过深入理解微软最新操作系统Windows8下内存取证的相关原理和方法，并运用逆向工程等分析手段，本文研究了Windows8系统地址空间的结构、系统内存池分配、页式内存管理、段式内存管理、地址转译原理等许多涉及系统内核层的机制。②通过对内核对象结构、进程和线程内部工作机制、对象句柄等信息进行分析，从内核对象结构中可提取出相应特征签名信息。基于这些特征签名信息，本文提出了一种能够从物理内存镜像文件中得到系统当前进程和线程信息的算法。该算法通过重构内核活动进程链表可以成功提取系统隐藏进程和非隐藏进程。从而能够获得各个进程相关的线程信息、DLL模块加载信息。③通过研究对象句柄表结构以及句柄关联的对象，本文给出了对象句柄信息的提取方法，理论分析和实验结果都表明该方法具有较好的准确率和通用性。