[发明专利]一种提取Windows操作系统休眠数据的方法

说明书

本发明公开了一种提取Windows操作系统休眠数据的方法，其特征在于包括以下步骤:S100:读取系统文件hiberfil.sys的签名字段Signature的状态值；S200:判断所述签名字段Signature的状态值是否为休眠，如果是，执行步骤S300,否则执行步骤S500；S300:获取休眠状态下页面对象的存储镜像PO_MEMORY_IMAGE的结构；S400:获取休眠状态下所述页面对象的存储镜像PO_MEMORY_IMAGE的首页表FTP，执行步骤S700；S500:判断所述签名字段Signature的状态值是否为苏醒，如果是，执行步骤S600,否则结束流程；S600:获取苏醒状态下的首页表FTP；S700:获取页面对象的存储范围数组_PO_MEMORY_RANGE_ARRAY的结构；S800:判断所述页面对象的存储范围数组_PO_MEMORY_RANGE_ARRAY是否为空，如果是，结束流程，否则执行步骤900；S900:获取数据集XPRESS set，获取并寻址下一页面对象的存储范围数组_PO_MEMORY_RANGE_ARRAY的起始地址，执行步骤S700。

技术领域

本发明属于电子取证领域，具体涉及一种提取Windows操作系统休眠数据的方法。

背景技术

从Windows 2000开始，微软使用了一种新的方法，允许Windows操作系统在电源即将关闭的时候保存系统当前的运行状态,这种方法在电源即将关闭的时候把内存中的所有数据和CPU的寄存器数据保存到磁盘上的系统文件hiberfil.sys中。当计算机再次打开电源启动的时候，可以从磁盘上的系统文件hiberfil.sys恢复上次关闭电源时的系统运行状态。

由于Windows操作系统休眠数据存放着整个内存的易失性数据，所以是一个电子取证很好的信息来源。

现有技术中，诸如Volatility和Rekall等内存取证工具都可以分析Windows操作系统休眠数据，但并未披露提取Windows操作系统休眠数据的具体技术方案。

发明内容

本发明针对现有技术的不足问题，提出了一种提取Windows操作系统休眠数据的方法，通过判断当前的系统文件hiberfil.sys是休眠状态还是苏醒状态，从而采用不同的方法获取两种状态下的数据集XPRESS set，并将数据集XPRESS set进行组合以达到提取Windows操作系统休眠数据的方法的目的，包括以下步骤:

S100:读取系统文件hiberfil.sys的签名字段Signature的状态值；

S200:判断所述签名字段Signature的状态值是否为休眠，如果是，执行步骤S300,否则执行步骤S500；

S300:获取休眠状态下页面对象的存储镜像PO_MEMORY_IMAGE的结构；

S400:获取休眠状态下所述页面对象的存储镜像PO_MEMORY_IMAGE的首页表FTP，执行步骤S700；

S500:判断所述签名字段Signature的状态值是否为苏醒，如果是，执行步骤S600,否则结束流程；

S600:获取苏醒状态下的首页表FTP；

S700:获取页面对象的存储范围数组_PO_MEMORY_RANGE_ARRAY的结构；

S800:判断所述页面对象的存储范围数组_PO_MEMORY_RANGE_ARRAY是否为空，如果是，结束流程，否则执行步骤900；

S900:获取数据集XPRESS set，获取并寻址下一页面对象的存储范围数组_PO_MEMORY_RANGE_ARRAY的起始地址，执行步骤S700。