ハイバネーションファイルに含まれるレジスタ情報
ハイバネーションファイルであれば、レジスタもあるのでそちらを使った方がよいのではないか?というお話がありましたので、ハイバネーションファイルに含まれているレジスタ情報には何があるのか調べてみたのですが、下記資料 P9 に説明がありました。
Windows hibernation file for fun and profit - Black Hat USA 2008
http://msuiche.net/con/bhusa2008/Windows_hibernation_file_for_fun_%27n%27_profit-0.6.pdf
ハイバネーションファイルが復帰などで一度使われてしまうと、ハイバネーションファイルの先頭部分1ページ分が 0 で埋められるようですが、ヘッダ部分が失われるだけでこのデータ部分(Processor State)は残っているのかな?<追記>
volatility hibinfo の出力結果で、すでに起動されたハイバネーションファイルでも Control registers flags って項目に値が表示されてくるので残っているんですかね。