アンタイ・フォレンジック妖怪の独り言

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

ハイバネーションファイルに含まれるレジスタ情報

ハイバネーションファイルであれば、レジスタもあるのでそちらを使った方がよいのではないか?というお話がありましたので、ハイバネーションファイルに含まれているレジスタ情報には何があるのか調べてみたのですが、下記資料 P9 に説明がありました。

Windows hibernation file for fun and profit - Black Hat USA 2008
http://msuiche.net/con/bhusa2008/Windows_hibernation_file_for_fun_%27n%27_profit-0.6.pdf

ハイバネーションファイルが復帰などで一度使われてしまうと、ハイバネーションファイルの先頭部分1ページ分が 0 で埋められるようですが、ヘッダ部分が失われるだけでこのデータ部分(Processor State)は残っているのかな?<追記>
volatility hibinfo の出力結果で、すでに起動されたハイバネーションファイルでも Control registers flags って項目に値が表示されてくるので残っているんですかね。