Cercare una stringa in RAM

[Giovanni_G]

Ciao,
vediamo se qui c'è qualcuno veramente in gamba. Ho perso una bzza di una email troppo importante, è in RAM, ma con WinHex non riesco ad aprire la entire RAM (non si apre nulla), posso aprire i singoli processi ma sono più di 200.. che cacchio.

Sto cercando un programma che mi permetta di aprire la RAM come un'albicocca e cercare dappertutto, dove sia possible cercare. Non mi interessa ficcare in naso nel kernel o altro, mi interessa cercare solo dove si può cercare.

Google si rifiuta di autarmi, ho provato a cercare di tutto. Grazie

[supremo.a]

Prova a leggere questo http://www.ilsoftware.it/articoli.asp?tag=Memory-forensics-recuperare-dati-utili-dalla-memoria-RAM_4597 solo che il documento in PDF che ti propongono nell'articolo è in lingua Inglese (?).
Io non ho ben capito cos'è successo.. hai perso un file? da dove? eventualmente potresti provare ad usare un programma per il recupero di file perduti.
1)http://www.hwupgrade.it/news/programmi/file-persi-e-irrecuperabili-su-pc-o-mac-ci-pensa-data-recovery_63697.html
2)http://www.hwupgrade.it/articoli/programmi/2698/recuperare-file-cancellati-con-recuva_index.html
Ciao buon proseguimento di giornata.

[Eress]

Prova con questo sistema

http://benpiper.com/2011/11/how-to-recover-a-lost-form-in-internet-explorer-or-firefox-without-any-add-ons-or-pre-installed-utilities/

[Giovanni_G]

Ringrazio molto per i consigli! HxD sembra funzionare meglio di WinHex a livello di apertura RAM, ho recuperato dei frammenti della email in RAM che come pensavo non erano ancora andati perduti.

supremo.a purtroppo thunderbird utilizza un file soltanto per salvare le bozze, non è pertanto possibile cercare file perduti/eleiminati in quanto il file esiste. Il file viene modificato a seguito della cancellazione della bozza e non è possibile più risalire a quei settori del disco che eventualmente contengono quelle informazioni e che ora sono indicati come spazio libero. molto più semplice cercare in RAM