休眠文件结构

Question

在我的程序中，我需要从 windows7 64 位解压缩休眠文件 hiberfil.sys（以搜索一些内存工件）。我在 Internet 上找不到文件格式的任何好的描述。

有没有人遇到过这个问题？也许有人已经恢复了格式？对于这方面的任何帮助，我将不胜感激。

Answer 1

您可以通过bulk_extractor project 找到一些运气。如果您获得源代码，并查看 src/scan_hiberfile.cpp 文件，它可以告诉您如何打开 Windows 休眠文件。