[发明专利]一种解析Windows操作系统的休眠数据的方法

权利要求书

1.一种解析Windows操作系统的休眠数据的方法，其特征在于包括以下步骤:

S001:导入Windows操作系统的休眠文件；

S002:判断所述Windows操作系统的休眠文件是否为Windows 8操作系统以下的版本，如果是，执行步骤S005,否则执行步骤S003；

S003:解析Windows操作系统的休眠文件，获取第一引导恢复页和第一内核恢复页，并获取各自的恢复集合的偏移地址；

S004:解析恢复集合并获取压缩集合的数据，结束流程；步骤S004包括以下步骤:

S0041:每个恢复集合由多个压缩集合组成，每个压缩集合由16个4KB字节的物理内存页组成，获取压缩集合的数据，每个压缩集合以压缩集合头结构为起始标识；

S0042:所述压缩集合头结构的前8字节表示页描述符page descriptor的数量，其中，所述数量等于0或大于16，表示当前Windows操作系统的休眠文件已损坏；

S0043:所述页描述符后连续22字节位表示压缩数据的大小，若所述压缩数据的大小等于压缩集合中物理内存页数量，则表示所述物理内存页的数据未压缩，否则，表示所述物理内存页的数据被压缩；

S005:提取Windows操作系统的休眠数据；

S006:获取并解析Windows操作系统的休眠数据的压缩块；步骤S006包括以下步骤:

S0061:每个数据集由多个压缩块组成，每个压缩块是长度为4KB字节的物理内存页，每个压缩块以镜像头结构为起始标识；

S0062:所述镜像头结构的前8字节表示签名字段，其值等于\x81\x81xpress；

S0063:所述签名字段后连续10字节表示未压缩页，其值表示未压缩的物理页数；

S0064:所述未压缩页后连续22字节表示压缩块的数据大小，其中，若所述压缩块的数据大小是4KB的整数倍，则表示压缩块的数据未经压缩，否则表示压缩块中数据被压缩。

2.根据权利要求1所述的一种解析Windows操作系统的休眠数据的方法，其特征在于，所述步骤S002的具体步骤包括:

S0021:读取头结构中签名字段的值；

S0022:判断所述头结构中签名字段的值是否等于\x81\x81xpress，如果是，执行步骤S005,否则执行步骤S003。

3.根据权利要求2所述的一种解析Windows操作系统的休眠数据的方法，其特征在于，所述步骤S003包括以下步骤:

S0031:以Windows操作系统的休眠文件的首地址0x0000为起始地址，并读取字节长度为0x1000字节的内容为页面对象的存储镜像的结构，其包含签名字段、所述第一引导恢复页及第一内核恢复页，所述签名字段的状态值为ASCII格式存储的字符，其中，HIBR或hibr表示休眠，RSTR表示处于正在恢复的状态，WAKE表示苏醒，HORM表示Windows操作系统总是从最近的休眠文件恢复；

S0032:读取所述第一引导恢复页的值并乘以0x1000的积，作为引导恢复页的恢复集合的偏移地址，其中，所述偏移地址是相对于所述Windows操作系统的休眠文件的首地址0x0000的偏移地址；

S0033:读取所述第一内核恢复页的值并乘以0x1000的积，作为第一内核恢复页的恢复集合的偏移地址，其中，所述偏移地址是相对于所述Windows操作系统的休眠文件的首地址0x0000的偏移地址。

4.根据权利要求3所述的一种解析Windows操作系统的休眠数据的方法，其特征在于，所述Windows操作系统的休眠文件的文件名为hiberfil.sys。