远程实时监控软件是计算机取证中的一个重要组成部分,但在植入远程实时监控软件时往往会受到虚拟还原软件的干扰。因此,研究虚拟还原穿透技术对于计算机网络隐蔽取证具有重要的理论意义和实用价值。在分析设备驱动程序的基本组成、用户态应用程序与驱动程序的通信方式和使用I/O(Input/Output)控制码对设备进行输入输出控制等相关技术的基础上,设计了一个基于端口操作的虚拟还原穿透驱动程序POVRPD(Port Operation-based Virtual Recovery Pass-through Driver)。根据磁盘读写操作的处理流程,分析了几个还原软件的技术关键,提出了POVRPD的指导思想和技术思路,给出了POVRPD中两个关键技术:穿透方式和输入输出同步的核心。穿透方式的核心是在突破驱动器读写限制的基础上,实现扇区直接读写;输入输出同步的核心是对磁盘读写操作进行排队管理。最后综合技术思路和关键技术,说明了POVRPD的处理流程。基于POVRPD的处理流程,重点阐述了其中关键技术的实现途径,包括驱动器读写限制的突破、磁盘读写操作的截获、扇区的直接读写以磁盘读写操作的排队管理。为了验证POVRPD的穿透性能,设计了测试程序,并分别在安装了基于Windows XP系统还原的还原软件、基于过滤驱动的还原软件以及基于中断重定向的还原软件的Windows操作系统环境下,进行了测试。测试结果表明,POVRPD不仅能够穿透若干主流的虚拟还原软件,而且兼顾了操作系统的稳定性。