Analyseur Pagefile.sys Windows
Analyse forensique du pagefile.sys — carving de fichiers, extraction de chaînes et indicateurs de compromission. Traitement par streaming, les fichiers de plusieurs Go restent sur votre appareil.
Les fichiers sont traités entièrement dans votre navigateur via WebAssembly. Rien n'est envoyé sur Internet.
Illustration — chaque bande est une classe de pages, proportionnelle à sa part du fichier.
Déposez pagefile.sys, swapfile.sys, un ZIP de triage ou un dossier de collecte
Tout reste sur cet appareil. Les fichiers de plusieurs Go et les collectes ZIP (KAPE, Velociraptor) sont lus en flux, jamais envoyés.
Pagefile synthétique d'une intrusion fictive (FIN-WKS-07) — aucune donnée réelle. Contient des événements EVTX récupérés : essayez la plage horaire.
pagefile.sys · swapfile.sys · .zip · dossiers
Comment récupérer vos données
Windows verrouille pagefile.sys tant qu'il tourne : une copie classique échoue. Voici la façon la plus rapide de le récupérer.
- Collectez pagefile.sys
- Déposez le fichier, le dossier ou le ZIP ci-dessus
- Tout reste dans votre navigateur — rien n'est envoyé
Machine Windows allumée. Ouvrez cmd avec « Exécuter en tant qu'administrateur » dans le dossier qui contient RawCopy.exe (gratuit, open source, sans installation). E: est votre disque externe ou de preuves.
mkdir E:\triage 2>nul & RawCopy.exe /FileNamePath:C:\pagefile.sys /OutputPath:E:\triage & RawCopy.exe /FileNamePath:C:\swapfile.sys /OutputPath:E:\triageVous obtenez E:\triage\pagefile.sys et swapfile.sys (Windows 8+) : déposez les deux ici. RawCopy ↗
Pas de ligne de commande ? FTK Imager
FileAdd Evidence ItemLogical DriveC:\[root]pagefile.sysExport Files…
Lancez FTK Imager en administrateur, suivez le chemin ci-dessus et exportez vers E:\triage. Il lit le volume brut, le verrou n'a donc pas d'importance.
KAPE
La cible MemoryFiles copie pagefile.sys, swapfile.sys, hiberfil.sys et les minidumps de C: en une passe. À lancer en administrateur.
kape.exe --tsource C: --tdest E:\triage --target MemoryFilesDéposez tout le dossier E:\triage (les fichiers arrivent dans E:\triage\C\) : les fichiers d'échange sont repérés, le reste est ignoré.
Velociraptor
Dans l'interface Velociraptor, créez un collecteur hors ligne avec la cible MemoryFiles, sans chiffrement, puis exécutez-le en administrateur sur la machine.
Server ArtifactsBuild offline collectorWindows.Triage.TargetsTargets: MemoryFilesLaunch
Déposez tel quel le Collection-….zip qu'il produit — inutile de le décompresser.
FTK Imager
FileAdd Evidence ItemImage File[root]pagefile.sysExport Files…
Fonctionne avec les images E01, raw/dd et les disques de VM (.vmdk, .vhdx). Exportez pagefile.sys et swapfile.sys depuis la racine du volume Windows.
Image montée sous Windows
Montée en lecture seule sur une lettre de lecteur (Arsenal Image Mounter, Mount-VHD -ReadOnly…) ? Rien ne verrouille le fichier, un simple robocopy suffit. Remplacez F: par le volume monté.
robocopy F:\ E:\triage pagefile.sys swapfile.sys /BDisque hors ligne sous Linux
Disque derrière un bloqueur d'écriture ou machine démarrée sur une clé USB forensique. Remplacez /dev/sdb2 par la partition Windows (voir lsblk).
sudo mkdir -p /mnt/win && sudo mount -t ntfs-3g -o ro /dev/sdb2 /mnt/win && mkdir -p ~/triage && cp /mnt/win/pagefile.sys /mnt/win/swapfile.sys ~/triage/The Sleuth Kit
Relevez le secteur de début de la partition Windows (NTFS) dans la sortie de mmls et utilisez-le comme <offset>.
mmls image.E01
icat -o <offset> image.E01 $(ifind -o <offset> -n /pagefile.sys image.E01) > pagefile.sys- Par défaut — racine du volume système (toutes versions de Windows)
C:\pagefile.sys - Windows 8+ — mémoire de travail des applis Store/UWP, même format de pages : déposez-le aussi
C:\swapfile.sys - Fichiers d'échange supplémentaires sur d'autres volumes, s'ils sont configurés (voir la valeur de registre ci-dessous)
D:\pagefile.sys - Non accepté ici : instantané de RAM compressé, à décompresser d'abord (Volatility, Hibr2Bin)
C:\hiberfil.sys
Lister tous les fichiers d'échange configurés
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" /v PagingFilesUne valeur vide ou ?:\pagefile.sys signifie « géré par le système » sur C:. Tout autre lecteur listé nécessite sa propre copie (par ex. /FileNamePath:D:\pagefile.sys).
Vérifier le chiffrement du fichier d'échange
fsutil behavior query EncryptPagingFileEncryptPagingFile = 1 signifie que le contenu est chiffré avec une clé perdue à l'arrêt : les pages ressembleront à des données aléatoires.
Déposez pagefile.sys et swapfile.sys ensemble — ou tout le dossier de collecte ou le ZIP. Chaque fichier d'échange trouvé est listé et vous pouvez passer de l'un à l'autre.
Pièges
- Copie, robocopy et clichés instantanés ne fonctionnent pas sur une machine allumée : le fichier est verrouillé et les clichés VSS l'excluent. Il faut les droits administrateur et un lecteur NTFS brut (RawCopy, KAPE, FTK Imager, Velociraptor).
- Il est volatil : collectez-le avant tout redémarrage ou arrêt (Windows peut l'effacer à l'arrêt), et écrivez sur un disque externe, jamais sur
C:. - La cible KAPE
MemoryFilesne regarde queC:\. Si le registre liste des fichiers d'échange sur d'autres volumes, copiez-les aussi.
- envoyé — le fichier ne quitte jamais votre appareil
- 0 o
- par bloc de lecture : les pagefiles de 16 Go passent
- 16 Mo
- classes de pages : signatures + entropie
- 20
- familles d'indicateurs extraites de chaque chaîne
- 10
Ce que cet analyseur de pagefile.sys Windows extrait
Trois couches d'analyse opèrent pendant le streaming — carving par signature, extraction de chaînes et balayages regex d'artefacts.
Carving par signature, page par page
Chaque page de 4 Ko est confrontée aux signatures PE (MZ + PE\0\0), ruche de registre (regf, hbin), enregistrement MFT (FILE/BAAD), SQLite, EVTX (ElfFile/ElfChnk), Prefetch (SCCA), LNK, PNG/JPEG/PDF/ZIP, XML/JSON et pages Xpress-Huffman.
Chaînes ASCII et UTF-16LE
Extraction de chaînes à longueur minimale configurable sur tout le fichier, avec continuation au-delà des limites de chunks de 16 Mo. Chaque chaîne conserve son décalage absolu.
Balayages regex d'artefacts
URL, e-mails, adresses IPv4 et IPv6, chemins Windows (C:\…), chemins UNC, clés de registre (HKLM, HKCU…), GUID, indicateurs de lignes de commande (cmd.exe, powershell, mshta, rundll32, certutil…) et heuristiques de credentials (password=, jetons Bearer, formes JWT).
Repli statistique
Les pages sans signature sont classifiées par entropie de Shannon, proportion de nuls et d'imprimables, de sorte que l'analyste voit une couverture complète du fichier — y compris les zones à haute entropie probablement chiffrées.
Comment analyser un pagefile.sys Windows
- 1
Acquérir pagefile.sys
Prenez une copie forensique de pagefile.sys depuis un système éteint, une image disque ou le volume NTFS brut. Windows verrouille le fichier pendant son fonctionnement.
- 2
Ouvrir cette page dans le navigateur
Aucune installation : l'analyseur est un programme Rust compilé en WebAssembly qui tourne entièrement côté client.
- 3
Déposer le fichier ou le sélectionner
Toutes les tailles sont supportées. Le navigateur lit le fichier par tranches de 16 Mo ; le fichier complet n'est jamais en mémoire.
- 4
Examiner les quatre onglets de résultats
Vue d'ensemble affiche l'histogramme des types de pages. Carte des pages liste chaque page classifiée. Chaînes est une liste filtrable d'ASCII et UTF-16LE. Artefacts regroupe URL, e-mails, IP, chemins, clés de registre, GUID, lignes de commande et indices de credentials.
- 5
Exporter les résultats
Téléchargez le rapport JSON complet, les chaînes en TXT ou les artefacts en CSV pour la suite de votre enquête.
Pour approfondir la forensique du pagefile.sys
Lectures complémentaires sur le format, les techniques utilisées et ce qu'on peut récupérer ou non.
- Carving de fragments de ruches de registre depuis pagefile.sysComment identifier les blocs regf et hbin dans un pagefile Windows, ce qu'on peut en récupérer, et comment enchaîner la sortie vers RegRipper / hivexsh / Registry Explorer d'Eric Zimmerman.Lire l'article →
- Détecter des lignes de commande malveillantes dans pagefile.sysCommandes PowerShell encodées, téléchargements certutil, payloads mshta, abus de rundll32, squiblydoo via regsvr32 — les motifs de lignes de commande qui apparaissent dans le pagefile.sys de Windows et comment les y trouver.Lire l'article →
- Chiffrer pagefile.sys : le réglage EncryptPagingFile et ce contre quoi il protègeWindows peut chiffrer pagefile.sys avec une clé éphémère par démarrage. Ce billet explique ce que cela protège, ce que cela ne protège pas, comment cela interagit avec BitLocker, et ce que cela implique pour l'analyse forensique.Lire l'article →
- Trouver des identifiants dans pagefile.sysPourquoi des identifiants fuitent dans le pagefile.sys de Windows, quelles formes rechercher — mots de passe, jetons bearer, JWT, NTLM, Kerberos, jetons des CLI cloud — et comment ce parser les met en avant.Lire l'article →
- Comment acquérir pagefile.sysMéthodes pratiques d'acquisition du pagefile.sys de Windows — à chaud, hors-ligne, depuis une image disque ou un snapshot de VM, avec les pièges à éviter.Lire l'article →
- Limites de l'analyse de pagefile.sysCe que vous pouvez et ne pouvez pas récupérer d'un pagefile Windows — et pourquoi la compression mémoire de Windows 10 change la donne.Lire l'article →
- Comment fonctionne réellement la forensique de pagefile.sysCarving par signature, extraction de chaînes et analyse d'entropie — les trois techniques qui sous-tendent tout outil d'analyse de pagefile.sys.Lire l'article →
- pagefile.sys vs hiberfil.sys vs swapfile.sys : quel fichier de pagination Windows analyserWindows compte trois fichiers liés à la pagination à la racine du disque système — pagefile.sys, hiberfil.sys, swapfile.sys. Chacun contient des données différentes et intervient à des moments différents de l'enquête.Lire l'article →
- Récupérer l'historique de navigation (URL, cookies, auto-remplissage) depuis pagefile.sysComment Chrome, Edge et Firefox font fuiter des données de navigation dans le pagefile.sys de Windows — et comment extraire URL, cookies, requêtes de recherche et valeurs d'auto-remplissage depuis une page carvée.Lire l'article →
- Faut-il supprimer ou désactiver pagefile.sys ?Désactiver pagefile.sys libère de l'espace disque et peut faire partie d'un durcissement sécurité — mais cela dégrade aussi les performances et casse les dumps de crash. Voici un point de vue forensique et opérationnel sur quand (ne pas) le faire.Lire l'article →
- Volatility + pagefile.sys : associer les deux pour une forensique mémoire complèteVolatility ne sait pas parser pagefile.sys tout seul — mais associé à un dump RAM, il peut reconstruire l'espace d'adressage virtuel complet, y compris les pages paginées. Voici le workflow.Lire l'article →
- Qu'est-ce que pagefile.sys ?Un tour rapide du pagefile.sys de Windows — pourquoi il existe, ce qu'il contient et pourquoi les analystes forensiques s'y intéressent.Lire l'article →
Outils associés
Questions fréquentes
Qu'est-ce que pagefile.sys ?
pagefile.sys est le fichier que Windows utilise comme extension sur disque de la RAM physique. Quand la mémoire manque, les pages peu utilisées sont écrites dans ce fichier.
Mon fichier est-il envoyé sur Internet ?
Non. L'analyseur tourne dans votre navigateur via WebAssembly. Les octets ne quittent jamais l'appareil — aucun traitement serveur, aucune télémétrie.
Qu'est-ce qui peut être extrait d'un pagefile ?
Classification par signature (images PE, ruches de registre, enregistrements MFT, bases SQLite, chunks EVTX, Prefetch, LNK, PNG/JPEG/PDF/ZIP, pages compressées Xpress-Huffman), chaînes ASCII et UTF-16LE avec décalages absolus, et artefacts regex : URL, e-mails, IPv4/IPv6, chemins Windows, chemins UNC, clés de registre, GUID, indices de lignes de commande, heuristiques de credentials.
Quelle taille de fichier est supportée ?
Les pagefiles de plusieurs gigaoctets (4 Go, 8 Go, 16 Go et plus) sont pris en charge. Le Web Worker lit le fichier par tranches de 16 Mo via File.slice() pour éviter la saturation mémoire.
Fonctionne-t-il avec la mémoire compressée de Windows 10 / 11 ?
Les pages compressées par CompressionStoreManager (Xpress-Huffman, CompressionFormat 4) sont détectées et signalées. La décompression complète est prévue ultérieurement.
Peut-on relier chaque page à un processus ?
Pas à partir du seul pagefile. Le mapping page → (processus, adresse virtuelle) vit dans les page-table entries (PTE) en RAM — il faut un dump mémoire associé (Volatility / MemProcFS). L'analyse autonome du pagefile fournit du contenu, pas du contexte.
Différence entre pagefile.sys, swapfile.sys et hiberfil.sys ?
pagefile.sys est le stockage par défaut pour la mémoire anonyme paginée. swapfile.sys conserve les working sets d'apps UWP. hiberfil.sys est un snapshot RAM complet pris à l'hibernation. Chacun fournit des artefacts différents.
La mémoire paginée, révélée en quelques minutes.
Déposez pagefile.sys, swapfile.sys ou une collecte de triage complète. L'analyse tourne en WebAssembly sur cet appareil — fermez l'onglet, rien ne subsiste.
Essayer l'analyseur