休眠文件结构

Question

在我的程序中，我需要从Windows7 64位解压休眠文件hiberfil.sys（搜索一些内存文物）。我无法通过互联网找到任何有关文件格式的良好说明。

有没有人遇到过这个问题？也许有人已经恢复了格式？我将不胜感激任何帮助。

Answer 1

您或许可以通过bulk_extractor project找到一些运气。如果你得到源代码，并检查出src/scan_hiberfile.cpp文件，它可以告诉你如何打开一个Windows休眠文件。