pagefile.sys.

pagefile.sys 是 Windows 虚拟内存在磁盘上的后备存储,通常位于卷根目录,大小由系统动态调整。当物理内存紧张时,内存管理器会将用户态和内核态地址空间中被换出的页写入 pagefile,这些数据可能驻留数天甚至数周。pagefile 在取证上虽无结构,但内容极为丰富:通过字符串雕刻和基于特征的搜索,通常能恢复明文凭据、PowerShell 命令行、解密后的恶意载荷、HTTP 流量片段及注册表片段。具备 pagefile 感知能力的 Volatility 插件、bulk_extractor 以及对原始文件运行的 yarscan,常能挖掘出磁盘其他地方根本不存在的证据。部分配置在关机时会对其加密或清空。