休眠文件结构

Question

在我的程序中，我需要从windows7 64位解压缩休眠文件hiberfil.sys（以搜索一些内存工件）。我无法在互联网上找到任何关于文件格式的良好描述。

有没有人遇到过这个问题？也许有人已经恢复了格式？我将不胜感激任何帮助。

Answer 1

您可以通过bulk_extractor project找到一些运气。如果您获得了源代码，并查看了src / scan_hiberfile.cpp文件，它可以向您展示如何打开Windows休眠文件。