[發(fā)明專利]一種解析Windows操作系統(tǒng)的休眠數(shù)據(jù)的方法

有效

• 申請?zhí)枺?/td>: 201811462241.2
• 申請日: 2018-12-03
• 公開（公告）號: CN109634823B
• 公開（公告）日: 2022-03-04
• 發(fā)明（設(shè)計(jì)）人: 梁效寧;朱星海;韓勇;許超明;呂靚婷
• 申請（專利權(quán)）人: 四川巧奪天工信息安全智能設(shè)備有限公司
• 主分類號: G06F11/34
• 分類號: G06F11/34;G06F9/4401
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種解析Windows操作系統(tǒng)的休眠數(shù)據(jù)的方法，其特征在于包括以下步驟:

S001:導(dǎo)入Windows操作系統(tǒng)的休眠文件；

S002:判斷所述Windows操作系統(tǒng)的休眠文件是否為Windows 8操作系統(tǒng)以下的版本，如果是，執(zhí)行步驟S005,否則執(zhí)行步驟S003；

S003:解析Windows操作系統(tǒng)的休眠文件，獲取第一引導(dǎo)恢復(fù)頁和第一內(nèi)核恢復(fù)頁，并獲取各自的恢復(fù)集合的偏移地址；

S004:解析恢復(fù)集合并獲取壓縮集合的數(shù)據(jù)，結(jié)束流程；步驟S004包括以下步驟:

S0041:每個恢復(fù)集合由多個壓縮集合組成，每個壓縮集合由16個4KB字節(jié)的物理內(nèi)存頁組成，獲取壓縮集合的數(shù)據(jù)，每個壓縮集合以壓縮集合頭結(jié)構(gòu)為起始標(biāo)識；

S0042:所述壓縮集合頭結(jié)構(gòu)的前8字節(jié)表示頁描述符page descriptor的數(shù)量，其中，所述數(shù)量等于0或大于16，表示當(dāng)前Windows操作系統(tǒng)的休眠文件已損壞；

S0043:所述頁描述符后連續(xù)22字節(jié)位表示壓縮數(shù)據(jù)的大小，若所述壓縮數(shù)據(jù)的大小等于壓縮集合中物理內(nèi)存頁數(shù)量，則表示所述物理內(nèi)存頁的數(shù)據(jù)未壓縮，否則，表示所述物理內(nèi)存頁的數(shù)據(jù)被壓縮；

S005:提取Windows操作系統(tǒng)的休眠數(shù)據(jù)；

S006:獲取并解析Windows操作系統(tǒng)的休眠數(shù)據(jù)的壓縮塊；步驟S006包括以下步驟:

S0061:每個數(shù)據(jù)集由多個壓縮塊組成，每個壓縮塊是長度為4KB字節(jié)的物理內(nèi)存頁，每個壓縮塊以鏡像頭結(jié)構(gòu)為起始標(biāo)識；

S0062:所述鏡像頭結(jié)構(gòu)的前8字節(jié)表示簽名字段，其值等于\x81\x81xpress；

S0063:所述簽名字段后連續(xù)10字節(jié)表示未壓縮頁，其值表示未壓縮的物理頁數(shù)；

S0064:所述未壓縮頁后連續(xù)22字節(jié)表示壓縮塊的數(shù)據(jù)大小，其中，若所述壓縮塊的數(shù)據(jù)大小是4KB的整數(shù)倍，則表示壓縮塊的數(shù)據(jù)未經(jīng)壓縮，否則表示壓縮塊中數(shù)據(jù)被壓縮。

2.根據(jù)權(quán)利要求1所述的一種解析Windows操作系統(tǒng)的休眠數(shù)據(jù)的方法，其特征在于，所述步驟S002的具體步驟包括:

S0021:讀取頭結(jié)構(gòu)中簽名字段的值；

S0022:判斷所述頭結(jié)構(gòu)中簽名字段的值是否等于\x81\x81xpress，如果是，執(zhí)行步驟S005,否則執(zhí)行步驟S003。

3.根據(jù)權(quán)利要求2所述的一種解析Windows操作系統(tǒng)的休眠數(shù)據(jù)的方法，其特征在于，所述步驟S003包括以下步驟:

S0031:以Windows操作系統(tǒng)的休眠文件的首地址0x0000為起始地址，并讀取字節(jié)長度為0x1000字節(jié)的內(nèi)容為頁面對象的存儲鏡像的結(jié)構(gòu)，其包含簽名字段、所述第一引導(dǎo)恢復(fù)頁及第一內(nèi)核恢復(fù)頁，所述簽名字段的狀態(tài)值為ASCII格式存儲的字符，其中，HIBR或hibr表示休眠，RSTR表示處于正在恢復(fù)的狀態(tài)，WAKE表示蘇醒，HORM表示W(wǎng)indows操作系統(tǒng)總是從最近的休眠文件恢復(fù)；

S0032:讀取所述第一引導(dǎo)恢復(fù)頁的值并乘以0x1000的積，作為引導(dǎo)恢復(fù)頁的恢復(fù)集合的偏移地址，其中，所述偏移地址是相對于所述Windows操作系統(tǒng)的休眠文件的首地址0x0000的偏移地址；

S0033:讀取所述第一內(nèi)核恢復(fù)頁的值并乘以0x1000的積，作為第一內(nèi)核恢復(fù)頁的恢復(fù)集合的偏移地址，其中，所述偏移地址是相對于所述Windows操作系統(tǒng)的休眠文件的首地址0x0000的偏移地址。

4.根據(jù)權(quán)利要求3所述的一種解析Windows操作系統(tǒng)的休眠數(shù)據(jù)的方法，其特征在于，所述Windows操作系統(tǒng)的休眠文件的文件名為hiberfil.sys。