Qual é o objetivo de “C: \ swapfile.sys” no Windows 8?

Question

No Windows 8, há os dois arquivos a seguir em C: \

1. pagefile.sys - não é surpresa. É tão grande quanto eu configurei como tamanho do arquivo de página
2. swapfile.sys - tem 256 MB de tamanho

Qual é o objetivo desse arquivo swapfile.sys adicional?

Estou procurando uma resposta oficial sobre isso. Já há especulação suficiente sobre isso na web.

    

Answer 1

Vários links das respostas postadas acabam se vinculando a ele, mas link

parece ser uma resposta mais definitiva:

You may ask, “Why do we need another virtual page file?” Well, with the introduction of the Modern App, we needed a way to manage their memory outside of the traditional Virtual Memory/Pagefile method. With that, the “%SystemDrive%\swapfile.sys” was born.

Windows 8 can efficiently write the whole (private) working set of a suspended Modern app to disk in order to gain additional memory when the system detects pressure. This process is analogous to hibernating a specific app, and then resuming it when the user switches back to the app. In this case, Windows 8 takes advantage of the suspend/resume mechanism of Modern apps to empty or re-populate an app’s working set.

    

Answer 2

De um membro da equipe da Microsoft em fóruns da Technet .

This is a special type of pagefile used internally by the system to make certain types of paging operations more efficient. It is not related to the automatic dump setting.

Suspend/resume of Metro-style apps is one scenario, there could be others in the future.

    

Answer 3

Embora não saiba exatamente qual é o objetivo, parece que ele é usado para armazenar / armazenar em cache o conteúdo que está em uso no momento.

Se você está curioso para ver o que há dentro dele, você pode adquirir arquivos bloqueados como swapfile.sys ou pagefile.sys de um sistema Windows em execução usando FGET (Forense Get por HBGary).

Execute o seguinte comando (como administrador):

FGET -extract %systemdrive%\swapfile.sys OUTPUT_PATH

Depois disso, você pode realizar uma análise de string usando Strings . Dentro de swapfile.sys no meu sistema, entre outras coisas que encontrei:

my email address, several emails and email addresses, environment variables, partial content from web pages I visited, mimetype strings, user agent strings, XML files, URLs, IP addresses, usernames, library function names, application preferences, path strings, etc.

Eu também tentei esculpir o arquivo para procurar formatos de imagem comuns e encontrei vários JPEGs e PNGs contendo ícones de aplicativos, recursos de páginas da web, várias fotos de perfil, recursos de imagem de aplicativos do Metro, etc.

Se FGET não funcionar, tente usar ifind e icat do The Sleuth Kit . Você pode encontrar o número de entrada da MFT para swapfile.sys usando ifind da seguinte forma:

ifind -n /swapfile.sys \.\%systemdrive%

Depois de ter o número de inode, você pode recuperar o arquivo usando icat da seguinte forma:

icat \.\%systemdrive% INODE_NUMBER > OUTPUT_PATH

Por exemplo:

C:\>ifind -n /swapfile.sys \.\%systemdrive%
1988

C:\>icat \.\%systemdrive% 1988 > %systemdrive%\swapfile.dmp

OBSERVAÇÃO: você precisa executar os dois comandos a partir de um prompt de comando elevado (por exemplo, executar cmd como Administrador)