DFIR
DFIR-Windows Search DB &Sleep Study
Windows Search 数据库是 Windows 操作系统用于快速搜索文件、电子邮件、文档等内容的一个组件。这个数据库记录了系统上的各种文件和数据的索引信息，对于取证分析具有重要意义。下面是 Windows Search 数据库记录的内容及其在分析取证中的意义： 1. 文件索引信息：Windo ......
DFIR-LNK & Jump List
LNK Files 1. 记录内容: a. LNK文件，通常称为快捷方式文件，是Windows中的一种特殊文件类型，用于指向另一个文件或目录的路径。 b. 它们包含许多有用的信息，例如目标文件的路径、创建和访问时间、图标位置、以及有时候的网络位置和卷标序列号。 2. 取证意义: a. LNK文件在取 ......
DFIR-Prefetch
Prefetch 文件是 Windows 操作系统中的一种特殊文件，用于记录程序启动信息，以加快程序的启动速度。在取证分析中，Prefetch 文件有几个重要的用途： 1. 程序使用记录：Prefetch 文件包含了程序的名称和最后一次运行的时间戳。这对于确定某个程序是否被在特定时间运行过非常有用。 ......