Detta papper beskriver användningen av Virtual Address Descriptor (VAD) trädstruktur i Windows minne dumps för att hjälpa till att vägleda rättsmedicinsk analys av Windows minne. Vi beskriver hur man lokaliserar och tolkar strukturen, och visar dess värde i att bryta upp fysiskt minne i mer hanterbara och semantiskt meningsfulla enheter än vad som kan erhållas genom att helt enkelt gå sidans katalog för processen. Flera verktyg för att visa information om VAD-trädet och dumpa de minnesregioner som beskrivs kommer också att presenteras.
REF införde en metod för att gå på Virtual Address Descriptor (VAD) träd.
The VAD tree: A process-eye view of physical memory
{'venue': 'Digital Investigation', 'journal': 'Digital Investigation', 'mag_field_of_study': ['Computer Science']}