Amcache on 办公AI智能小助手 https://blog.qife122.com/tags/amcache/ Recent content in Amcache on 办公AI智能小助手 Hugo zh-cn qife Sat, 06 Dec 2025 12:28:09 +0800 Windows PE版本信息解析的“怪现象”与数字取证启示 https://blog.qife122.com/p/windows-pe%E7%89%88%E6%9C%AC%E4%BF%A1%E6%81%AF%E8%A7%A3%E6%9E%90%E7%9A%84%E6%80%AA%E7%8E%B0%E8%B1%A1%E4%B8%8E%E6%95%B0%E5%AD%97%E5%8F%96%E8%AF%81%E5%90%AF%E7%A4%BA/ Sat, 06 Dec 2025 12:28:09 +0800 https://blog.qife122.com/p/windows-pe%E7%89%88%E6%9C%AC%E4%BF%A1%E6%81%AF%E8%A7%A3%E6%9E%90%E7%9A%84%E6%80%AA%E7%8E%B0%E8%B1%A1%E4%B8%8E%E6%95%B0%E5%AD%97%E5%8F%96%E8%AF%81%E5%90%AF%E7%A4%BA/ <h2 id="有时windows与pe版本信息不合拍">有时Windows与PE版本信息“不合拍”</h2> <p>作为我对Amcache（关于它的更多内容以后再说）的一些研究的一部分，我开始探索Windows PE版本信息以及Windows如何看待它。这源于我以为在Velocidex的PE模块中发现了一个错误，但实际上，更像是“Windows有时会做些奇怪的事情”。</p> Amcache与USB设备追踪数字取证技术解析 https://blog.qife122.com/p/amcache%E4%B8%8Eusb%E8%AE%BE%E5%A4%87%E8%BF%BD%E8%B8%AA%E6%95%B0%E5%AD%97%E5%8F%96%E8%AF%81%E6%8A%80%E6%9C%AF%E8%A7%A3%E6%9E%90/ Mon, 03 Nov 2025 12:00:13 +0800 https://blog.qife122.com/p/amcache%E4%B8%8Eusb%E8%AE%BE%E5%A4%87%E8%BF%BD%E8%B8%AA%E6%95%B0%E5%AD%97%E5%8F%96%E8%AF%81%E6%8A%80%E6%9C%AF%E8%A7%A3%E6%9E%90/ <h1 id="amcache与usb设备追踪---数字取证分析">Amcache与USB设备追踪 - 数字取证分析</h1> <h2 id="工具介绍">工具介绍</h2> <ul> <li>USB Detective</li> </ul> <h2 id="联系方式">联系方式</h2> <p>Contact Me</p> <h2 id="导航菜单">导航菜单</h2> <ul> <li>Home</li> <li>Tools</li> <li>USB Detective</li> <li>Contact Me</li> </ul> AmCache取证分析：挖掘Windows系统中的恶意活动痕迹 https://blog.qife122.com/p/amcache%E5%8F%96%E8%AF%81%E5%88%86%E6%9E%90%E6%8C%96%E6%8E%98windows%E7%B3%BB%E7%BB%9F%E4%B8%AD%E7%9A%84%E6%81%B6%E6%84%8F%E6%B4%BB%E5%8A%A8%E7%97%95%E8%BF%B9/ Sat, 04 Oct 2025 18:55:37 +0800 https://blog.qife122.com/p/amcache%E5%8F%96%E8%AF%81%E5%88%86%E6%9E%90%E6%8C%96%E6%8E%98windows%E7%B3%BB%E7%BB%9F%E4%B8%AD%E7%9A%84%E6%81%B6%E6%84%8F%E6%B4%BB%E5%8A%A8%E7%97%95%E8%BF%B9/ <h1 id="amcache取证分析挖掘windows系统中的恶意活动痕迹">AmCache取证分析：挖掘Windows系统中的恶意活动痕迹</h1> <h2 id="引言">引言</h2> <p>在数字取证领域，AmCache在识别Windows系统中的恶意活动方面发挥着至关重要的作用。该工件允许识别机器上执行的良性和恶意软件。它由操作系统管理，在撰写本文时，尚无已知方法可以修改或删除AmCache数据。因此，在事件响应场景中，它可能是识别丢失工件（例如自动删除的勒索软件）的关键，允许分析人员搜索攻击者留下的模式，例如文件名和路径。此外，AmCache存储了已执行文件的SHA-1哈希值，这使得DFIR专业人员能够搜索公共威胁情报源（如OpenTIP和VirusTotal）并生成规则以在网络中的其他系统上阻止相同文件。</p>