Analisis de pagefile.sys

[alfaro]

Hola,

Cuando intento hacer un strings sobre pagefile.sys de un WinXP SP2 me da el mensaje

"Failed to open c:\pagefile.sys: El proceso no tiene acceso al archivo porque está siendo utilizado por otro proceso"

Si no me falla la memoria antes lo podía hacer sin problemas....

¿Alguna idea?

[kamsky]

Prueba a hacer una imagen del OS, la montas y le haces el string al sistema "clónico" a ver si ya te deja

[alfaro]

Gracias, eso ya se que funciona. La cosa es que me suena (al menos así lo indica Silverhack en su Introducción al análisis forense) que funcionaba sobre un sistema vivo.

[Novlucker]

Es verdad

strings C:\pagefile.sys | findstr /i MSNMSGR

Quizás antes no estaba bloqueado (aunque creo que si), o podrías probar quitando el atributo de sistema al archivo.
De cualquier manera creo que lo mejor sigue siendo hacerlo en "frío"

Saludos

[traxtor]

Solo confirmar lo dicho por Novlucker, no vas a poder acceder al fichero pagefile.sys mientras el sistema este online y, por lo tanto, haga uso del mismo.

Saludos

[toxeek]

Que hay.

el archivo de systema pagefile.sys esta siendo usado por el propio S.O. te encontraras con el mismo problema con el SAM, por ejemplo.
Es lo que ocurre, incluso cuando haces un defrag eso mismo ocurre, que no desfragmentas muchos archivos porque estan en uso por el S.O, de ahi lo suyo el hacer un defrag con alguna app que lo permita en tiempo de booteo.

Bueno yo lo que hacia para ver lo que habia en el pagefile.sys es usar una distro de Linux y pasarle strings. Puedes usar una live cd cualquiera que te permita montar NTFS (Knoppix la ultima ?)


Saludos.


P.D: No vayas pensando que vas a hace un
# strings pagefile.sys | grep "mipasswd"
y la vas a obtener. Normalmente no deberia de escribirse data asi de importante sobe el archivo de swap.. Veras muchas entradas del AV y demas cosas similares.

[Meta]

Hola,

Cuando intento hacer un strings sobre pagefile.sys de un WinXP SP2 me da el mensaje

"Failed to open c:\pagefile.sys: El proceso no tiene acceso al archivo porque está siendo utilizado por otro proceso"

Si no me falla la memoria antes lo podía hacer sin problemas....

¿Alguna idea?

Lo he abierto hace tiempo y no entiendo nada.

He instalado 2 Windows XP en C:\ y el otro en un disco duro particionado. No puedes abrirlo ya que lo usa el sistema operativo, pero puedes ir al otro Windows instalado en otra partición y hacer lo que desees.

Saludo.

[Novlucker]

Claro, por eso decimos que desde un live-cd no hay problemas en acceder a él, y lo mismo desde otra instalación, el tema es que el sistema no este bloqueando el archivo

Saludos

[winroot]

Hola,

Cuando intento hacer un strings sobre pagefile.sys de un WinXP SP2 me da el mensaje

"Failed to open c:\pagefile.sys: El proceso no tiene acceso al archivo porque está siendo utilizado por otro proceso"

Si no me falla la memoria antes lo podía hacer sin problemas....

¿Alguna idea?

Lo he abierto hace tiempo y no entiendo nada.

He instalado 2 Windows XP en C:\ y el otro en un disco duro particionado. No puedes abrirlo ya que lo usa el sistema operativo, pero puedes ir al otro Windows instalado en otra partición y hacer lo que desees.

Saludo.

hola

en si, no puedes abrir nunca un archivo, que este usando otro proceso.
eso pasa porque windows, de manera predeterminada no borra el contenido del pagefile.

hay una opcion, en la parte de sistema en  rendimiento y recuperacion,   que   permite que windows borre el pagefile en cada apagado , aunque demora un poco mas en  apagarse tu pc.

si queres provar,  borra el pagefile.sys usando el unlocker.
no se ahora, pero cuando lo   borre, se  puso la pantalla con 000000000 toda negra, y se apago de golpe.

saludos

[toxeek]

No me extra*a que se te apagara el PC, imagina la de procesos que recaian sobre la info guardada en el pagefile.sys.


Saludos.