Windows Hibernation File (hiberfil.sys)
| Format | Windows Hibernation File (hiberfil.sys) |
|---|---|
| Kurzname | hiberfil |
| Kategorie | Speicher |
| Plattformen | Windows |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Die komprimierte Kopie des physischen Arbeitsspeichers, die Windows beim Ruhezustand und, mit Schnellstart, bei jedem Herunterfahren schreibt (nur Kernel-Sitzung). Enthält Prozesse, Netzwerkzustand und entschlüsselte Schlüssel so, wie sie im RAM lagen. Ab Windows 8 wird mit Xpress oder Xpress Huffman komprimiert, und nach dem Fortsetzen bleibt der Header erhalten, alles nach den ersten 4 KiB wird aber genullt. Der Inhalt ist daher nur zwischen Ruhezustand und nächstem Einschalten verfügbar. Bis Windows 7 wird nur die erste Page gelöscht, und komprimierte Speicher-Pages können erhalten bleiben.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | 68 69 62 72 | hibr | Header-Signatur 'hibr' (Windows XP und älter) |
| Offset 0 (0x0) | 48 49 42 52 | HIBR | Header-Signatur 'HIBR' (Windows Vista und neuer) |
| Offset 0 (0x0) | 77 61 6B 65 | wake | Header-Signatur 'wake' nach dem Fortsetzen (Windows XP und älter) |
| Offset 0 (0x0) | 57 41 4B 45 | WAKE | Header-Signatur 'WAKE' nach dem Fortsetzen (Windows Vista und neuer) |
| Offset unbekannt | 52 53 54 52 | RSTR | Header-Signatur 'RSTR' an Offset 0 während der Wiederherstellung; mit denselben Bytes beginnt eine Restart Page des NTFS-$LogFile |
Bekannte Dateiendungen
.sys
Referenzen
- Windows Hibernation File (hiberfil.sys) format, up to Windows 7 (libyal/libhibr) https://github.com/libyal/libhibr/blob/main/documentation/Windows%20Hibernation%20File%20(hiberfil.sys)%20format.asciidoc
- Modern Windows Hibernation File Analysis (Sylve, Marziale, Richard — Digital Investigation, 2016) https://cct.lsu.edu/~golden/Papers/modern-windows-hibernation-2017.pdf
- ForensicsWiki — Hiberfil.sys https://forensics.wiki/hiberfil.sys/
Diesen Eintrag zitieren
Crush-Format-Referenz, „Windows Hibernation File (hiberfil.sys)“. https://kalink0.github.io/crush-forensics/formats/de/hiberfil/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden