[发明专利]一种提取Windows操作系统休眠数据的方法

权利要求书

1.一种提取Windows操作系统休眠数据的方法，其特征在于包括以下步骤:

S100:读取系统文件hiberfil.sys的签名字段Signature的状态值；

S200:判断所述签名字段Signature的状态值是否为休眠，如果是，执行步骤S300,否则执行步骤S500；

S300:获取休眠状态下页面对象的存储镜像PO_MEMORY_IMAGE的结构；

S400:获取休眠状态下所述页面对象的存储镜像PO_MEMORY_IMAGE的首页表FTP，执行步骤S700；

S500:判断所述签名字段Signature的状态值是否为苏醒，如果是，执行步骤S600,否则结束流程；

S600:获取苏醒状态下的首页表FTP；

S700:获取页面对象的存储范围数组_PO_MEMORY_RANGE_ARRAY的结构；

S800:判断所述页面对象的存储范围数组_PO_MEMORY_RANGE_ARRAY是否为空，如果是，结束流程，否则执行步骤900；

S900:获取数据集XPRESS set，获取并寻址下一页面对象的存储范围数组_PO_MEMORY_RANGE_ARRAY的起始地址，执行步骤S700。

2.根据权利要求1所述的一种提取Windows操作系统休眠数据的方法，其特征在于，以系统文件hiberfil.sys的偏移地址0x0000为首地址，并读取字节长度为0x1000的内容为所述页面对象的存储镜像PO_MEMORY_IMAGE的结构，其包含签名字段Signature及所述首页表FTP的地址FirstTablePage，所述签名字段Signature的状态值为ASCII格式存储的字符，其中，HIBR或hibr表示休眠，WAKE表示苏醒；所述首页表FTP的地址FirstTablePage为十六进制数。

3.根据权利要求2所述的一种提取Windows操作系统休眠数据的方法，其特征在于，所述步骤S400包括以下步骤:

读取页面对象的存储镜像PO_MEMORY_IMAGE结构的FirstTablePage字段的值，再乘以0x1000后所得的值作为所述首页表FTP在所述系统文件hiberfil.sys中的偏移地址，根据所述偏移地址，获取休眠状态下的首页表FTP。

4.根据权利要求3所述的一种提取Windows操作系统休眠数据的方法，其特征在于，所述步骤S600包括以下步骤:

查找系统文件hiberfil.sys中第一个签名字段Signature的值等于\x81\x81xpress的数据集XPRESS set，即为第一个数据集XPRESS set，所述第一个数据集XPRESS set的起始地址向前跳转0x1000字节，即为苏醒状态下的首页表FTP的起始地址。

5.根据权利要求4所述的一种提取Windows操作系统休眠数据的方法，其特征在于，所述步骤S700包括以下步骤:

所述首页表FTP的起始地址乘以0x1000后所得的值为所述页面对象的存储范围数组_PO_MEMORY_RANGE_ARRAY结构的起始地址，其字节长度为所述页面对象的存储范围数组_PO_MEMORY_RANGE_ARRAY结构中EndPage减去StartPage的值。

6.根据权利要求5所述的一种提取Windows操作系统休眠数据的方法，其特征在于，所述步骤S800中，读取所述页面对象的存储范围数组_PO_MEMORY_RANGE_ARRAY的NextTable字段，判断所述NextTable字段是否为空值，如果是，结束流程，否则执行步骤900。