[发明专利]一种解析Windows操作系统的休眠数据的方法

说明书

本发明公开了一种解析Windows操作系统的休眠数据的方法，其特征在于包括以下步骤:S001:导入Windows操作系统的休眠文件；S002:判断所述Windows操作系统的休眠文件是否为Windows 8操作系统以下的版本，如果是，执行步骤S005,否则执行步骤S003；S003:解析Windows操作系统的休眠文件，获取第一引导恢复页和第一内核恢复页，并获取各自的恢复集合的偏移地址；S004:解析恢复集合并获取压缩集合的数据，结束流程；S005:提取Windows操作系统的休眠数据；S006:获取并解析Windows操作系统的休眠数据的压缩块。

技术领域

本发明属于电子取证领域，具体涉及一种解析Windows操作系统的休眠数据的方法。

背景技术

从Windows 2000开始，微软使用了一种新的方法，允许Windows操作系统在电源即将关闭的时候保存系统当前的运行状态,这种方法在电源即将关闭的时候把内存中的所有数据和CPU的寄存器数据保存到磁盘上的系统文件hiberfil.sys中。当计算机再次打开电源启动的时候，可以从磁盘上的系统文件hiberfil.sys恢复上次关闭电源时的系统运行状态。

由于Windows操作系统休眠数据存放着整个内存的易失性数据，所以是一个电子取证很好的信息来源。

现有技术中，诸如Volatility和Rekall等内存取证工具都可以分析Windows操作系统休眠数据，但并未披露解析Windows操作系统休眠数据的具体技术方案。

发明内容

本发明针对现有技术的不足问题，提出了一种解析Windows操作系统的休眠数据的方法，通过判断当前休眠文件是否为Windows 8操作系统以下的版本，从而采用不同的方法来解析，包括以下步骤:

S001:导入Windows操作系统的休眠文件；

S002:判断所述Windows操作系统的休眠文件是否为Windows 8操作系统以下的版本，如果是，执行步骤S005,否则执行步骤S003；

S003:解析Windows操作系统的休眠文件，获取第一引导恢复页和第一内核恢复页，并获取各自的恢复集合的偏移地址；

S004:解析恢复集合并获取压缩集合的数据，结束流程；

S005:提取Windows操作系统的休眠数据；

S006:获取并解析Windows操作系统的休眠数据的压缩块。

优选地，所述步骤S002包括以下步骤:

S0021:读取头结构中签名字段的值；

S0022:判断所述头结构中签名字段的值是否等于\x81\x81xpress，如果是，执行步骤S005,否则执行步骤S003。

所述步骤S003包括以下步骤:

S0031:以Windows操作系统的休眠文件的首地址0x0000为起始地址，并读取字节长度为0x1000字节的内容为页面对象的存储镜像的结构，其包含签名字段、所述第一引导恢复页及第一内核恢复页，所述签名字段的状态值为ASCII格式存储的字符，其中，HIBR或hibr表示休眠，RSTR表示处于正在恢复的状态，WAKE表示苏醒，HORM表示Windows操作系统总是从最近的休眠文件恢复；

S0032:读取所述第一引导恢复页的值并乘以0x1000的积，作为引导恢复页的恢复集合的偏移地址，其中，所述偏移地址是相对于所述Windows操作系统的休眠文件的首地址0x0000的偏移地址；