https://blog.qife122.com/tags/userassist/ Recent content in UserAssist on 办公AI智能小助手 Hugo zh-cn qife Wed, 17 Sep 2025 09:46:08 +0800 https://blog.qife122.com/p/%E6%B7%B1%E5%85%A5%E8%A7%A3%E6%9E%90userassistwindows%E5%8F%96%E8%AF%81%E4%B8%AD%E7%9A%84%E5%85%B3%E9%94%AE%E5%B7%A5%E4%BB%B6%E4%B8%8Eir%E5%BA%94%E7%94%A8/ Wed, 17 Sep 2025 09:46:08 +0800 https://blog.qife122.com/p/%E6%B7%B1%E5%85%A5%E8%A7%A3%E6%9E%90userassistwindows%E5%8F%96%E8%AF%81%E4%B8%AD%E7%9A%84%E5%85%B3%E9%94%AE%E5%B7%A5%E4%BB%B6%E4%B8%8Eir%E5%BA%94%E7%94%A8/ <h1 id="引言">引言</h1> <p>作为全球应急响应团队（GERT）成员，我们日常依赖取证工件开展调查，UserAssist是最关键的工件之一。它包含宝贵的执行信息，可帮助追踪敌对活动并检测恶意软件。然而，UserAssist尚未被深入研究，存在数据解释和记录条件等方面的知识空白。本文提供对UserAssist工件的深度分析，阐明其数据表示的模糊性。我们将讨论工件创建和更新的工作流程、UEME_CTLSESSION值结构及其在记录UserAssist数据中的作用，并介绍此前未知的UserAssist数据结构。</p> https://blog.qife122.com/p/%E6%B7%B1%E5%85%A5%E8%A7%A3%E6%9E%90userassistwindows%E5%8F%96%E8%AF%81%E4%B8%AD%E7%9A%84%E5%85%B3%E9%94%AE%E5%B7%A5%E4%BB%B6%E7%BB%93%E6%9E%84%E4%B8%8E%E5%BA%94%E7%94%A8/ Tue, 09 Sep 2025 03:30:16 +0800 https://blog.qife122.com/p/%E6%B7%B1%E5%85%A5%E8%A7%A3%E6%9E%90userassistwindows%E5%8F%96%E8%AF%81%E4%B8%AD%E7%9A%84%E5%85%B3%E9%94%AE%E5%B7%A5%E4%BB%B6%E7%BB%93%E6%9E%84%E4%B8%8E%E5%BA%94%E7%94%A8/ <h1 id="userassist工件回顾">UserAssist工件回顾</h1> <p>UserAssist是Windows中用于记录GUI程序执行的知名取证工件，存储以下关键数据：</p> <ul> <li>程序名称：完整程序路径</li> <li>运行次数：程序执行次数</li> <li>焦点次数：程序被置为焦点的次数</li> <li>焦点时间：程序处于焦点状态的总时间</li> <li>最后执行时间：最后一次执行的时间戳</li> </ul> <p>该工件位于每个NTUSER.DAT注册表配置单元的<code>Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist\</code>路径下，包含以GUID命名的子键，其中最重要的两个GUID为：</p>