如果原始文件已被删除，是否可以恢复正在运行的 VBScript 文件？答案

【问题标题】：Is it possible to recover a running VBScript file, if the original file was already deleted?如果原始文件已被删除，是否可以恢复正在运行的 VBScript 文件？
【发布时间】：2014-03-11 12:43:17
【问题描述】：

我有一个在我的系统上连续运行的 Vbscript 来监控 Internet Explorer 上的网页。

我错误地从系统上的原始位置永久删除了这个 Vbscript 文件，但是该脚本仍在 RAM 中，并且仍在运行和监视网页。

这个脚本对我来说很重要，但我把它弄丢了:(

我想知道是否有任何方法可以在脚本仍在运行时从系统的 RAM 或任何临时文件中恢复 Vbscript 文件的代码。

我不允许使用任何文件恢复软件，所以请不要建议安装任何第三方数据恢复软件。

【问题讨论】：

有趣的查询...如果不安装任何恢复工具，请不要考虑是否可能...但想关注您的查询以获得一些见解。
没有。这是不可能的。
@NathanRice 好吧，从技术上讲，有可能从memory dump 中提取代码。不过，从磁盘中恢复已删除的文件可能更容易（如果磁盘上的块尚未被重新使用）。从头开始重写脚本甚至可能更容易。此外，如果脚本真的那么重要：为什么没有备份？
使用 sysinternals procdump 在 Windows 7 64 上测试。代码在内存中，可以从转储中读取。
谢谢大家。抱歉延迟回复。我确实接受了进程的转储。我找不到任何软件来分析转储。所以我使用在线转储分析器来获取代码。我得到了几乎 95% 的正确代码，只有一些循环中的代码被扭曲了，但我做到了。

标签： vbscript ram delete-file temp file-recovery

【解决方案1】：

尝试使用 WinDbg 中的“ADPlus.vbs”脚本：
1.http://msdn.microsoft.com/en-us/windows/hardware/hh852365
2.http://support.microsoft.com/kb/286350

【讨论】：

【解决方案2】：

在代码运行时，我按照以下流程恢复运行代码：

进入任务管理器
选择进程并创建转储
打开在线转储分析器 (www.osronline.com)
上传转储文件
下载转储分析

转储分析提供了几乎 95% 的正确代码。某些循环中的代码被扭曲或更改。因为我是代码的所有者，所以我能够更正它。

【讨论】：

【解决方案3】：

使用 HxD，它可以实时查看与任何进程相关的所有 ram 内容。它通常用于破解当前正在运行的游戏等。

找到您的脚本后，可能需要清除代码之间的字母数字混乱，N++ 和正则表达式知识可能会有用。

【讨论】：