Windows Pagefile.sys Parser
Forensische Analyse von Windows pagefile.sys — Datei-Carving, String-Extraktion und IOCs. Streamt Seite für Seite, sodass Dateien mit mehreren GB auf dem Gerät bleiben.
Dateien werden vollständig im Browser via WebAssembly verarbeitet. Nichts wird hochgeladen.
Illustration — jedes Band ist eine Seitenklasse, skaliert nach ihrem Anteil an der Datei.
pagefile.sys, swapfile.sys, ein Triage-ZIP oder einen Sammlungsordner ablegen
Alles bleibt auf diesem Gerät. Dateien mit mehreren GB und ZIP-Sammlungen (KAPE, Velociraptor) werden gestreamt, nie hochgeladen.
Synthetische Pagefile eines fiktiven Einbruchs (FIN-WKS-07) — keine echten Daten. Enthält gecarvte Ereignisprotokoll-Einträge: probieren Sie den Zeitraumfilter.
pagefile.sys · swapfile.sys · .zip · Ordner
So kommen Sie an Ihre Daten
Windows sperrt pagefile.sys, solange es läuft – ein normales Kopieren schlägt fehl. So sichern Sie die Datei am schnellsten.
- pagefile.sys sichern
- Datei, Ordner oder ZIP oben ablegen
- Alles bleibt in Ihrem Browser – nichts wird hochgeladen
Laufendes Windows-System. Öffnen Sie cmd mit „Als Administrator ausführen“ in dem Ordner mit RawCopy.exe (kostenlos, Open Source, keine Installation). E: ist Ihr externes bzw. Beweismittel-Laufwerk.
mkdir E:\triage 2>nul & RawCopy.exe /FileNamePath:C:\pagefile.sys /OutputPath:E:\triage & RawCopy.exe /FileNamePath:C:\swapfile.sys /OutputPath:E:\triageSie erhalten E:\triage\pagefile.sys und swapfile.sys (Windows 8+): legen Sie beide hier ab. RawCopy ↗
Keine Kommandozeile? FTK Imager
FileAdd Evidence ItemLogical DriveC:\[root]pagefile.sysExport Files…
Starten Sie FTK Imager als Administrator, folgen Sie dem Pfad oben und exportieren Sie nach E:\triage. Er liest das Volume roh, die Sperre spielt also keine Rolle.
KAPE
Das Target MemoryFiles kopiert pagefile.sys, swapfile.sys, hiberfil.sys und Minidumps von C: in einem Durchgang. Als Administrator ausführen.
kape.exe --tsource C: --tdest E:\triage --target MemoryFilesLegen Sie den ganzen Ordner E:\triage ab (die Dateien landen in E:\triage\C\): Die Auslagerungsdateien werden erkannt, der Rest ignoriert.
Velociraptor
Erstellen Sie in der Velociraptor-Oberfläche einen Offline-Collector mit dem Target MemoryFiles, ohne Verschlüsselung, und führen Sie ihn auf dem Host als Administrator aus.
Server ArtifactsBuild offline collectorWindows.Triage.TargetsTargets: MemoryFilesLaunch
Legen Sie die erzeugte Collection-….zip unverändert ab – kein Entpacken nötig.
FTK Imager
FileAdd Evidence ItemImage File[root]pagefile.sysExport Files…
Funktioniert mit E01-, raw/dd-Images und VM-Disks (.vmdk, .vhdx). Exportieren Sie pagefile.sys und swapfile.sys aus dem Stammverzeichnis des Windows-Volumes.
Unter Windows eingebundenes Image
Schreibgeschützt als Laufwerksbuchstabe eingebunden (Arsenal Image Mounter, Mount-VHD -ReadOnly…)? Nichts sperrt die Datei, ein einfaches robocopy genügt. Ersetzen Sie F: durch das eingebundene Volume.
robocopy F:\ E:\triage pagefile.sys swapfile.sys /BOffline-Datenträger unter Linux
Datenträger hinter einem Schreibblocker oder System von einem Forensik-USB-Stick gebootet. Ersetzen Sie /dev/sdb2 durch die Windows-Partition (siehe lsblk).
sudo mkdir -p /mnt/win && sudo mount -t ntfs-3g -o ro /dev/sdb2 /mnt/win && mkdir -p ~/triage && cp /mnt/win/pagefile.sys /mnt/win/swapfile.sys ~/triage/The Sleuth Kit
Lesen Sie den Startsektor der Windows-(NTFS-)Partition in der Ausgabe von mmls ab und verwenden Sie ihn als <offset>.
mmls image.E01
icat -o <offset> image.E01 $(ifind -o <offset> -n /pagefile.sys image.E01) > pagefile.sys- Standard – Stammverzeichnis des Systemvolumes (alle Windows-Versionen)
C:\pagefile.sys - Windows 8+ – Arbeitsspeicher von Store-/UWP-Apps, gleiches Seitenformat: ebenfalls ablegen
C:\swapfile.sys - Zusätzliche Auslagerungsdateien auf anderen Volumes, falls konfiguriert (siehe Registry-Wert unten)
D:\pagefile.sys - Hier nicht unterstützt: komprimierter RAM-Snapshot, zuerst dekomprimieren (Volatility, Hibr2Bin)
C:\hiberfil.sys
Alle konfigurierten Auslagerungsdateien auflisten
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v PagingFilesEin leerer Wert oder ?:\pagefile.sys bedeutet „vom System verwaltet“ auf C:. Jedes andere aufgeführte Laufwerk braucht eine eigene Kopie (z. B. /FileNamePath:D:\pagefile.sys).
Verschlüsselung der Auslagerungsdatei prüfen
fsutil behavior query EncryptPagingFileEncryptPagingFile = 1 bedeutet, dass der Inhalt mit einem Schlüssel verschlüsselt ist, der beim Herunterfahren verloren geht: Die Seiten sehen wie Zufallsdaten aus.
Legen Sie pagefile.sys und swapfile.sys zusammen ab – oder den ganzen Sicherungsordner bzw. das ZIP. Jede gefundene Auslagerungsdatei wird aufgelistet und Sie können zwischen ihnen wechseln.
Stolperfallen
- Copy, robocopy und Schattenkopien funktionieren am laufenden System nicht: Die Datei ist gesperrt und Volumeschattenkopien schließen sie aus. Sie brauchen Administratorrechte und einen Roh-NTFS-Leser (RawCopy, KAPE, FTK Imager, Velociraptor).
- Sie ist flüchtig: Sichern Sie sie vor jedem Neustart oder Herunterfahren (Windows kann sie beim Herunterfahren löschen) und schreiben Sie auf ein externes Laufwerk, nie auf
C:. - KAPE
MemoryFilessucht nur inC:\. Führt die Registry Auslagerungsdateien auf anderen Volumes auf, kopieren Sie diese ebenfalls.
- hochgeladen — die Datei verlässt nie Ihr Gerät
- 0 B
- Streaming-Blöcke, daher passen auch 16-GB-Pagefiles
- 16 MB
- Seitenklassen: Signaturen + Entropie
- 20
- Indikator-Familien, über jeden String gesucht
- 10
Was dieser Windows-pagefile.sys-Parser extrahiert
Drei Analyseebenen laufen während des Streamings — Signatur-Carving, String-Extraktion und Artefakt-Regex-Sweeps.
Signatur-Carving pro Seite
Jede 4-KB-Seite wird gegen PE (MZ + PE\0\0), Registry-Hive (regf, hbin), MFT-Eintrag (FILE/BAAD), SQLite, EVTX (ElfFile/ElfChnk), Prefetch (SCCA), LNK, PNG/JPEG/PDF/ZIP, XML/JSON und Xpress-Huffman-Seiten geprüft.
ASCII- und UTF-16LE-Strings
Extraktion mit konfigurierbarer Mindestlänge über die gesamte Datei, mit Fortsetzung über 16-MB-Chunk-Grenzen hinweg. Jeder String trägt seinen absoluten Datei-Offset.
Artefakt-Regex-Sweeps
URLs, E-Mails, IPv4- und IPv6-Adressen, Windows-Pfade (C:\…), UNC-Pfade, Registry-Schlüssel (HKLM, HKCU…), GUIDs, Kommandozeilen-Indikatoren (cmd.exe, powershell, mshta, rundll32, certutil…) und Credential-Heuristiken (password=, Bearer-Tokens, JWT-Formen).
Statistischer Fallback
Seiten ohne Signatur werden nach Shannon-Entropie, Null-Anteil und Druckbarkeitsanteil eingestuft, sodass die Abdeckung lückenlos ist — inklusive hoch-entropischer, vermutlich verschlüsselter Bereiche.
Wie man eine Windows-pagefile.sys analysiert
- 1
pagefile.sys beschaffen
Erstellen Sie eine forensische Kopie von pagefile.sys aus einem heruntergefahrenen System, einem Disk-Image oder dem rohen NTFS-Volume. Windows hält die Datei während des Betriebs gesperrt.
- 2
Diese Seite im Browser öffnen
Keine Installation nötig — der Analyzer ist ein in WebAssembly kompiliertes Rust-Programm, das vollständig clientseitig läuft.
- 3
Datei per Drag & Drop oder Auswahl öffnen
Beliebige Dateigrößen werden unterstützt. Der Browser liest die Datei in 16-MB-Chunks; sie liegt nie komplett im Speicher.
- 4
Die vier Ergebnis-Tabs prüfen
Übersicht zeigt das Seitentyp-Histogramm. Seiten-Karte listet jede klassifizierte Seite. Strings ist eine filterbare ASCII/UTF-16LE-Liste. Artefakte gruppiert URLs, E-Mails, IPs, Pfade, Registry-Schlüssel, GUIDs, Kommandozeilen und Credential-Indikatoren.
- 5
Ergebnisse exportieren
Laden Sie den vollständigen JSON-Bericht, Strings als TXT oder Artefakte als CSV für die weitere Bearbeitung in Ihrem Forensik-Toolkit herunter.
Mehr zur pagefile.sys-Forensik
Hintergrundlektüre zum Dateiformat, den hier genutzten Techniken und dem, was wiederherstellbar ist.
- Registry-Hive-Fragmente aus pagefile.sys carvenWie man regf- und hbin-Blöcke in einem Windows-Pagefile identifiziert, was sich daraus rekonstruieren lässt und wie man die Ausgabe in RegRipper / hivexsh / Eric Zimmermans Registry Explorer einspeist.Artikel lesen →
- Malware-Befehlszeilen in pagefile.sys erkennenPowerShell Encoded Commands, certutil-Downloads, mshta-Payloads, rundll32-Missbrauch, regsvr32 Squiblydoo — die Befehlszeilenmuster, die in Windows pagefile.sys auftauchen, und wie man sie findet.Artikel lesen →
- pagefile.sys verschlüsseln: die Einstellung EncryptPagingFile und wogegen sie schütztWindows kann pagefile.sys mit einem boot-spezifischen, ephemeren Schlüssel verschlüsseln. Dieser Beitrag erklärt, wogegen das schützt, wogegen nicht, wie es mit BitLocker zusammenspielt und was es für die forensische Analyse bedeutet.Artikel lesen →
- Anmeldedaten in pagefile.sys findenWarum Credentials in Windows pagefile.sys landen, welche Muster zu suchen sind — Passwörter, Bearer-Tokens, JWTs, NTLM, Kerberos, Cloud-CLI-Tokens — und wie dieser Parser sie sichtbar macht.Artikel lesen →
- Wie man pagefile.sys sichertPraktische Acquisition-Methoden für Windows pagefile.sys — live, offline, aus Disk-Images und VM-Snapshots, mit den Fallstricken, die es zu vermeiden gilt.Artikel lesen →
- Grenzen der pagefile.sys-AnalyseWas Sie aus einem Windows-Pagefile wiederherstellen können und was nicht — und warum Windows 10s Speicherkompression die Rechnung ändert.Artikel lesen →
- Wie pagefile.sys-Forensik tatsächlich funktioniertSignatur-Carving, String-Extraktion und Entropie-Analyse — die drei Techniken hinter jedem pagefile.sys-Analysetool.Artikel lesen →
- pagefile.sys vs. hiberfil.sys vs. swapfile.sys: welche Windows-Paging-Datei analysieren?Windows hat drei Paging-bezogene Dateien im Wurzelverzeichnis des Systemlaufwerks — pagefile.sys, hiberfil.sys, swapfile.sys. Jede enthält andere Daten und ist an unterschiedlichen Punkten einer Untersuchung relevant.Artikel lesen →
- Browser-Verlauf (URLs, Cookies, Autofill) aus pagefile.sys rekonstruierenWie Chrome, Edge und Firefox Browsing-Daten in Windows pagefile.sys lecken — und wie man URLs, Cookies, Suchanfragen und Autofill-Werte aus einer gecarvten Seite extrahiert.Artikel lesen →
- Sollten Sie pagefile.sys löschen oder deaktivieren?Pagefile.sys zu deaktivieren spart Speicherplatz und kann ein Hardening-Schritt sein — kostet aber Performance und tötet Crash-Dumps. Hier eine forensische und operative Sicht darauf, wann (nicht) zu deaktivieren.Artikel lesen →
- Volatility + pagefile.sys: beides zusammen für vollständige Memory-ForensikVolatility kann pagefile.sys nicht allein parsen — gepaart mit einem RAM-Dump kann es jedoch den vollständigen virtuellen Adressraum inklusive ausgelagerter Seiten rekonstruieren. Hier der Workflow.Artikel lesen →
- Was ist pagefile.sys?Eine kurze Tour durch Windows' pagefile.sys — warum es existiert, was darin steht und warum forensische Analysten es lieben.Artikel lesen →
Verwandte Tools
Häufige Fragen
Was ist pagefile.sys?
pagefile.sys ist die Datei, die Windows als Festplatten-Erweiterung des physischen RAM nutzt. Wird Speicher knapp, schreibt der Memory Manager kalte Seiten in diese Datei.
Wird meine Datei hochgeladen?
Nein. Der Analyzer läuft im Browser via WebAssembly. Die Bytes verlassen das Gerät nie — keine Server-Verarbeitung, keine Telemetrie.
Was kann dieser Parser aus einem Pagefile extrahieren?
Seitenklassifikation per Magic Bytes (PE-Images, Registry-Hive-Blöcke, MFT-Einträge, SQLite-Datenbanken, EVTX-Chunks, Prefetch, LNK, PNG/JPEG/PDF/ZIP, Xpress-Huffman-komprimierte Seiten), ASCII- und UTF-16LE-Strings mit absoluten Offsets, sowie Regex-Artefakte: URLs, E-Mails, IPv4/IPv6, Windows-Pfade, UNC-Pfade, Registry-Schlüssel, GUIDs, Kommandozeilen, Credential-Heuristiken.
Welche Dateigrößen werden unterstützt?
Pagefiles im Multi-Gigabyte-Bereich (4 GB, 8 GB, 16 GB und mehr) werden unterstützt. Der Web Worker liest in 16-MB-Chunks via File.slice(), sodass der Browser nie die gesamte Datei im Speicher hält.
Funktioniert es mit Windows-10/11-Speicherkompression?
Seiten, die der CompressionStoreManager komprimiert (Xpress-Huffman, CompressionFormat 4), werden erkannt und markiert. Volle Dekompression folgt später.
Kann ich eine Seite einem Prozess zuordnen?
Nicht aus dem Pagefile allein. Die Zuordnung Seite → (Prozess, virtuelle Adresse) lebt in Page Table Entries im RAM — dazu braucht es einen RAM-Dump (Volatility / MemProcFS). Standalone-Analyse liefert Inhalt, keinen Kontext.
Unterschied zwischen pagefile.sys, swapfile.sys und hiberfil.sys?
pagefile.sys ist der Standard-Backing-Store für ausgelagerten anonymen Speicher. swapfile.sys hält Working Sets von UWP-Apps. hiberfil.sys ist ein vollständiger RAM-Snapshot beim Hibernate. Jede Datei liefert andere Artefakte.
Ausgelagerter Speicher, in Minuten sichtbar.
Legen Sie pagefile.sys, swapfile.sys oder eine komplette Triage-Sammlung ab. Die Analyse läuft per WebAssembly auf diesem Gerät — Tab schließen, nichts bleibt zurück.
Parser starten