Recuperación de los datos de las páginas en memoria en caso de fallo en la activación de la hibernación

Primer intento, SI la cadena conocida estuviera almacenada en texto plano (no es el caso)

Supongo que podrías intentar usar

grep -Ubo --binary-files=text "known_substring" sleepimage 

A partir de ahí, el parámetro -U especifica la búsqueda en archivos binarios, -b especifica que se debe mostrar el desplazamiento en bytes de la parte coincidente y, por último, -o especifica que sólo se debe imprimir la parte coincidente.

Si eso funciona, usted sabrá el desplazamiento en bytes para llegar a esa región, pero no sabría exactamente cómo proceder allí. Dependiendo del tipo de archivo, probablemente se podría comprobar la firma del tipo de archivo cerca de ese desplazamiento informado y tratar de aislar sólo los bytes que forman parte de ese archivo. Para esto, supongo que podrías escribir un programa en C para hacerlo, o tal vez ejecutar hexdump -s known_offset sleepimage e intenta obtener sólo los bytes que se relacionan con el archivo que necesitas.

Por ejemplo, supongamos que quiero saber algo sobre Chrome:

$ sudo grep -Ubo --binary-files=text -i "chrome" sleepimage
3775011731:chrome

Así que sé que tengo una ocurrencia de cromo en el desplazamiento de bytes 3775011731. Por lo tanto, podría:

$ sudo hexdump -s 3775011731 sleepimage | head -n 3
e1021b93 09 09 3c 73 74 72 69 6e 67 3e 2e 63 68 72 6f 6d
e1021ba3 65 2e 67 6f 6f 67 6c 65 2e 63 6f 6d 3c 2f 73 74
e1021bb3 72 69 6e 67 3e 0a 09 09 3c 6b 65 79 3e 45 78 70

Lo difícil sería conseguir sólo los bytes que quieres. Si el tipo de archivo tiene una cabecera conocida, tal vez podrías restar el tamaño de la cabecera en bytes del offset del hexdump, para obtener el archivo "desde el principio". Si el tipo de archivo tiene una firma "EOF" conocida, podrías intentar buscarla también y así obtener sólo los bytes hasta ese punto.

¿Cuál es su tipo de archivo? ¿Cree usted que algún procedimiento como este podría ser utilizado en su caso? Ten en cuenta que nunca he hecho esto antes, y me estoy basando en un montón de "suposiciones", pero supongo que algo así tiene una pequeña posibilidad de funcionar..

Segundo intento, un método lento para analizar todos los bytes

El método anterior no funciona porque también busca sólo texto plano, mi apuesta. Para este segundo texto he creado un sencillo programa en C que contiene:

#include <stdio.h>

int main () {
  printf("assim");
  return 0;
}

Así que podría buscar "assim", que sería su cadena_conocida, en ese texto. Para saber qué bytes buscar hice:

$ echo -n "assim" | hexdump
0000000 61 73 73 69 6d                                 
0000005

Por lo tanto, debo encontrar "61 73 73 69 6d". Después de compilar ese sencillo código fuente en C en el programa "tt", hice lo siguiente:

hexdump -v -e '/1 "%02X\n"' tt | # format output for hexdump of file tt
    pcregrep -M --color -A 3 -B 3 "61\n73\n73\n69\n6D" # get 3 bytes A-fter and 3 bytes B-fore the occurence

Que volvió a mí:

Si hicieras algo así, supongo que podrías obtener tus datos.. Aunque sería un poco lento analizar 2~8GBs de bytes...

Tenga en cuenta que en este enfoque debe encontrar los hexágonos en mayúsculas (escriba 6D en lugar de 6d en el último grep), no en minúsculas, y utilice \n en lugar de espacios en blanco (para poder utilizar -A y -B para el grep). Puede utilizar grep -i por lo que se convirtió en insensible a las mayúsculas y minúsculas, pero sería un poco más lento. Por lo tanto, solo hay que usar las mayúsculas si se usa esto.

O, si quieres un "script" automatizado:

FILENAME=tt # file to parse looking for string
BEFORE=3 # bytes before occurrence
AFER=3 # bytes after occurrence
KNOWNSTRING="assim" # string to search for

ks_bytes="$(echo -n "$KNOWNSTRING" | hexdump | head -n1 | cut -d " " -f2- | tr '[:lower:]' '[:upper:]' | sed -e 's/ *$//g' -e 's/ /\\n/g')"

hexdump -v -e '/1 "%02X\n"' $FILENAME | pcregrep -M --color -A $AFER -B $BEFORE $ks_bytes