Récupération des données Pages en mémoire en cas d'échec du réveil par hibernation.

Premier essai, SI la chaîne connue était stockée en texte brut (ce n'est pas le cas)

Je suppose que vous pourriez essayer d'utiliser

grep -Ubo --binary-files=text "known_substring" sleepimage 

Le paramètre -U spécifie la recherche sur les fichiers binaires, -b spécifie que le décalage en octets de la partie correspondante doit être affiché et, enfin, -o spécifie que seule la partie correspondante doit être imprimée.

Si cela fonctionne, vous connaîtrez le décalage en octets pour accéder à cette région, mais je ne saurai pas exactement comment procéder. Selon le type de fichier, vous pourriez probablement rechercher la signature du type de fichier à proximité de ce décalage et essayer d'isoler uniquement les octets qui font partie de ce fichier. Pour cela, je suppose que vous pourriez soit écrire un programme en C, soit exécuter le processus suivant hexdump -s known_offset sleepimage et essayez de récupérer uniquement les octets qui concernent le fichier dont vous avez besoin.

Par exemple, supposons que je veuille savoir quelque chose sur Chrome :

$ sudo grep -Ubo --binary-files=text -i "chrome" sleepimage
3775011731:chrome

Je sais donc que j'ai obtenu une occurrence de chrome à l'octet de décalage 3775011731. Donc je pourrais :

$ sudo hexdump -s 3775011731 sleepimage | head -n 3
e1021b93 09 09 3c 73 74 72 69 6e 67 3e 2e 63 68 72 6f 6d
e1021ba3 65 2e 67 6f 6f 67 6c 65 2e 63 6f 6d 3c 2f 73 74
e1021bb3 72 69 6e 67 3e 0a 09 09 3c 6b 65 79 3e 45 78 70

La partie délicate serait d'obtenir seulement les octets que vous voulez. Si le type de fichier a un en-tête connu, vous pourriez peut-être soustraire la taille de l'en-tête en octets de l'offset hexdump, afin d'obtenir le fichier "depuis le début". Si le type de fichier a une signature "EOF" connue, vous pourriez essayer de la rechercher également et ainsi obtenir uniquement les octets jusqu'à ce point.

Quel est votre type de fichier ? Pensez-vous qu'une procédure comme celle-ci pourrait être utilisée dans votre cas ? Notez que je n'ai jamais fait cela auparavant, et je me base sur beaucoup de "suppositions", mais je suppose que quelque chose comme cela a une petite chance de fonctionner

Deuxième essai, une méthode lente pour analyser tous les octets

La méthode précédente ne fonctionne pas car elle ne recherche également que le texte brut, ma foi. Pour ce deuxième texte j'ai créé un simple programme C contenant :

#include <stdio.h>

int main () {
  printf("assim");
  return 0;
}

Je pourrais donc rechercher "assim", qui serait votre chaîne_connue, dans ce texte. Afin de savoir quels octets rechercher, j'ai fait :

$ echo -n "assim" | hexdump
0000000 61 73 73 69 6d                                 
0000005

Je dois donc trouver "61 73 73 69 6d". Après avoir compilé ce simple source C dans le programme "tt", j'ai fait ce qui suit :

hexdump -v -e '/1 "%02X\n"' tt | # format output for hexdump of file tt
    pcregrep -M --color -A 3 -B 3 "61\n73\n73\n69\n6D" # get 3 bytes A-fter and 3 bytes B-fore the occurence

Ce qui me ramène à moi :

Si tu faisais quelque chose comme ça, je suppose que tu pourrais obtenir tes données... Mais ce serait un peu lent pour analyser 2~8GB d'octets...

Notez que dans cette approche vous devez trouver les hexagones en majuscule (écrivez 6D au lieu de 6d sur le dernier grep), pas en minuscule, et utiliser \n au lieu des espaces blancs (pour que vous puissiez utiliser -A et -B pour le grep). Vous pouvez utiliser grep -i donc il est devenu insensible à la casse, mais il serait un peu plus lent. Par conséquent, il suffit d'utiliser les majuscules si cela est utilisé.

Ou, si vous voulez un "script" automatique :

FILENAME=tt # file to parse looking for string
BEFORE=3 # bytes before occurrence
AFER=3 # bytes after occurrence
KNOWNSTRING="assim" # string to search for

ks_bytes="$(echo -n "$KNOWNSTRING" | hexdump | head -n1 | cut -d " " -f2- | tr '[:lower:]' '[:upper:]' | sed -e 's/ *$//g' -e 's/ /\\n/g')"

hexdump -v -e '/1 "%02X\n"' $FILENAME | pcregrep -M --color -A $AFER -B $BEFORE $ks_bytes