USB取证 on 办公AI智能小助手 https://blog.qife122.com/tags/usb%E5%8F%96%E8%AF%81/ Recent content in USB取证 on 办公AI智能小助手 Hugo zh-cn qife Thu, 01 Jan 2026 08:11:02 +0800 深入解析：USB注册表键值中十六进制时间戳的奥秘 https://blog.qife122.com/p/%E6%B7%B1%E5%85%A5%E8%A7%A3%E6%9E%90usb%E6%B3%A8%E5%86%8C%E8%A1%A8%E9%94%AE%E5%80%BC%E4%B8%AD%E5%8D%81%E5%85%AD%E8%BF%9B%E5%88%B6%E6%97%B6%E9%97%B4%E6%88%B3%E7%9A%84%E5%A5%A5%E7%A7%98/ Thu, 01 Jan 2026 08:11:02 +0800 https://blog.qife122.com/p/%E6%B7%B1%E5%85%A5%E8%A7%A3%E6%9E%90usb%E6%B3%A8%E5%86%8C%E8%A1%A8%E9%94%AE%E5%80%BC%E4%B8%AD%E5%8D%81%E5%85%AD%E8%BF%9B%E5%88%B6%E6%97%B6%E9%97%B4%E6%88%B3%E7%9A%84%E5%A5%A5%E7%A7%98/ <h3 id="a-question-about-arbitrary-values-in-usb-registry-keys"><strong>A question about arbitrary values in USB registry keys</strong></h3> <p>我最近在堪培拉教授SANS FOR500 Windows取证分析课程时，被问到一个关于我们如何在注册表中追踪USB设备连接时间的问题。</p> <p>我当时的回答是：“它们是任意的”，但我觉得我应该更深入地研究一下，而且我很高兴这么做了！这也是很久以前就被讨论过的话题，但我自己并没有真正深入研究过。</p> 揭秘USB注册表键中神秘十六进制值：Windows设备安装时间戳解析 https://blog.qife122.com/p/%E6%8F%AD%E7%A7%98usb%E6%B3%A8%E5%86%8C%E8%A1%A8%E9%94%AE%E4%B8%AD%E7%A5%9E%E7%A7%98%E5%8D%81%E5%85%AD%E8%BF%9B%E5%88%B6%E5%80%BCwindows%E8%AE%BE%E5%A4%87%E5%AE%89%E8%A3%85%E6%97%B6%E9%97%B4%E6%88%B3%E8%A7%A3%E6%9E%90/ Wed, 10 Dec 2025 09:42:10 +0800 https://blog.qife122.com/p/%E6%8F%AD%E7%A7%98usb%E6%B3%A8%E5%86%8C%E8%A1%A8%E9%94%AE%E4%B8%AD%E7%A5%9E%E7%A7%98%E5%8D%81%E5%85%AD%E8%BF%9B%E5%88%B6%E5%80%BCwindows%E8%AE%BE%E5%A4%87%E5%AE%89%E8%A3%85%E6%97%B6%E9%97%B4%E6%88%B3%E8%A7%A3%E6%9E%90/ <p>最近在堪培拉教授SANS FOR500 Windows取证分析课程时，我被问到一个问题：我们如何在注册表中追踪USB设备的连接时间？</p> <p>当时我的回答是“它们是任意的”，但我觉得应该更深入地研究一下，而我也确实这么做了，并且很高兴我这样做了！这也是一个很久以前就被讨论过的话题，但我自己从未真正深入研究过。</p> Windows事件响应中的USB设备取证分析指南 https://blog.qife122.com/p/windows%E4%BA%8B%E4%BB%B6%E5%93%8D%E5%BA%94%E4%B8%AD%E7%9A%84usb%E8%AE%BE%E5%A4%87%E5%8F%96%E8%AF%81%E5%88%86%E6%9E%90%E6%8C%87%E5%8D%97/ Tue, 25 Nov 2025 10:06:26 +0800 https://blog.qife122.com/p/windows%E4%BA%8B%E4%BB%B6%E5%93%8D%E5%BA%94%E4%B8%AD%E7%9A%84usb%E8%AE%BE%E5%A4%87%E5%8F%96%E8%AF%81%E5%88%86%E6%9E%90%E6%8C%87%E5%8D%97/ <h1 id="分析指南usb">分析指南：USB</h1> <p>2005年，Cory Altheide和我发表了首篇关于在Windows系统上追踪USB设备的同行评审论文。多年来，不仅看到相关痕迹不断扩展和演变，还看到人们接过接力棒，继续描述作为调查一部分开发这些信息的&quot;指南&quot;，这令人惊叹。不仅像Raspberry Robin这样的恶意软件通过USB设备传播，而且随着其他可以通过USB连接但使用不同协议的设备兴起，在指南中操作这种分析变得更加重要。毕竟，为什么不通过自动化来消除解析中低效、易出错、纯粹手动的方面呢？</p>