https://blog.qife122.com/tags/windows%E5%8F%96%E8%AF%81/ Recent content in Windows取证 on 办公AI智能小助手 Hugo zh-cn qife Sat, 10 Jan 2026 17:04:09 +0800 https://blog.qife122.com/p/windows-11-%E6%88%AA%E5%9B%BE%E7%BC%93%E5%AD%98%E6%9C%BA%E5%88%B6%E4%B8%8E%E5%8F%96%E8%AF%81%E5%88%86%E6%9E%90/ Sat, 10 Jan 2026 17:04:09 +0800 https://blog.qife122.com/p/windows-11-%E6%88%AA%E5%9B%BE%E7%BC%93%E5%AD%98%E6%9C%BA%E5%88%B6%E4%B8%8E%E5%8F%96%E8%AF%81%E5%88%86%E6%9E%90/ <h1 id="windows-11-中的缓存截图">Windows 11 中的缓存截图</h1> <p>不久前，我写过关于Windows如何在Shell项中跟踪截图并将内容缓存到特定目录的文章。虽然这篇博文的内容并不算开创性的，但我还是想分享一些关于Windows 11上新“截图工具”的有趣发现。</p> https://blog.qife122.com/p/ai%E4%B8%8Ewindows%E5%8F%96%E8%AF%81%E6%95%B0%E5%AD%97%E8%B0%83%E6%9F%A5%E7%9A%84%E6%8C%91%E6%88%98%E4%B8%8E%E6%9C%BA%E9%81%87/ Sat, 10 Jan 2026 06:52:10 +0800 https://blog.qife122.com/p/ai%E4%B8%8Ewindows%E5%8F%96%E8%AF%81%E6%95%B0%E5%AD%97%E8%B0%83%E6%9F%A5%E7%9A%84%E6%8C%91%E6%88%98%E4%B8%8E%E6%9C%BA%E9%81%87/ <h1 id="ai与windows取证">AI与Windows取证</h1> <h2 id="数字取证">数字取证</h2> <p>您已选择0篇帖子。</p> <h3 id="精选文章">精选文章</h3> <h4 id="malbot-9月9日发布">MalBot 9月9日发布</h4> <p><strong>恶意软件二进制分类（IMBT）课程介绍</strong></p> <p>希望提升您的技能？使用优惠码 <strong>MWNEWS10</strong> 可享受任何课程9折优惠。</p> <p>立即报名并享受9折优惠：优惠码 <strong>MWNEWS10</strong></p> https://blog.qife122.com/p/windows%E5%86%85%E5%AD%98%E5%8F%96%E8%AF%81%E6%8C%91%E6%88%98%E6%81%B6%E6%84%8F%E8%BD%AF%E4%BB%B6%E5%88%86%E6%9E%90%E4%B8%8E%E5%86%85%E5%AD%98%E5%8F%96%E8%AF%81%E6%8A%80%E6%9C%AF%E8%A7%A3%E6%9E%90/ Tue, 09 Dec 2025 11:18:53 +0800 https://blog.qife122.com/p/windows%E5%86%85%E5%AD%98%E5%8F%96%E8%AF%81%E6%8C%91%E6%88%98%E6%81%B6%E6%84%8F%E8%BD%AF%E4%BB%B6%E5%88%86%E6%9E%90%E4%B8%8E%E5%86%85%E5%AD%98%E5%8F%96%E8%AF%81%E6%8A%80%E6%9C%AF%E8%A7%A3%E6%9E%90/ <p><strong>Windows内存取证挑战</strong></p> <p><strong>文章链接</strong>：<a href="https://www.youtube.com/watch?v=6JN6iAenEoA">https://www.youtube.com/watch?v=6JN6iAenEoA</a></p> <p>您已选择0个帖子。</p> <p><strong>选择全部</strong> <strong>取消选择</strong></p> <p><strong>MalBot 发布于 7月14日</strong></p> <p><strong>恶意软件二进制文件分类入门（IMBT）课程</strong> 想提升你的技能吗？使用优惠码 <strong>MWNEWS10</strong> 可享受任何课程类型的9折优惠。 立即报名并节省10%：优惠码 <strong>MWNEWS10</strong> 注意：此为联盟链接——您的报名将免费帮助支持此平台。</p> https://blog.qife122.com/p/%E6%B7%B1%E5%85%A5%E8%A7%A3%E6%9E%90windows%E4%BA%8B%E4%BB%B6%E5%93%8D%E5%BA%94%E4%B8%AD%E7%9A%84%E6%96%87%E4%BB%B6%E6%A0%BC%E5%BC%8F%E5%85%83%E6%95%B0%E6%8D%AE%E5%AE%9D%E8%97%8F/ Thu, 04 Dec 2025 06:13:23 +0800 https://blog.qife122.com/p/%E6%B7%B1%E5%85%A5%E8%A7%A3%E6%9E%90windows%E4%BA%8B%E4%BB%B6%E5%93%8D%E5%BA%94%E4%B8%AD%E7%9A%84%E6%96%87%E4%BB%B6%E6%A0%BC%E5%BC%8F%E5%85%83%E6%95%B0%E6%8D%AE%E5%AE%9D%E8%97%8F/ <p><strong>文件格式</strong></p> <p>我是微软文件格式的忠实粉丝，主要是因为它们提供了获取海量（通常未被充分发掘和利用）元数据的可能性。任何关注我一段时间或读过我博客的人都知道，我非常喜欢诸如注册表配置单元（以及具有相同结构的非注册表文件）以及LNK文件之类的文件格式。</p> https://blog.qife122.com/p/windows-rdp%E5%AE%A2%E6%88%B7%E7%AB%AF%E4%BA%8B%E4%BB%B6id-1024%E8%BF%BD%E8%B8%AA%E6%A8%AA%E5%90%91%E7%A7%BB%E5%8A%A8%E7%9A%84%E5%85%B3%E9%94%AE%E5%8F%96%E8%AF%81%E7%BA%BF%E7%B4%A2/ Thu, 04 Dec 2025 03:58:15 +0800 https://blog.qife122.com/p/windows-rdp%E5%AE%A2%E6%88%B7%E7%AB%AF%E4%BA%8B%E4%BB%B6id-1024%E8%BF%BD%E8%B8%AA%E6%A8%AA%E5%90%91%E7%A7%BB%E5%8A%A8%E7%9A%84%E5%85%B3%E9%94%AE%E5%8F%96%E8%AF%81%E7%BA%BF%E7%B4%A2/ <p>在进行事件响应时，事件日志是一个绝佳的取证证据来源。特别是，在调查基于网络的入侵时，横向移动往往是最难识别的行为之一。</p> <p>日志文件 <code>Microsoft-Windows-TerminalServices-RDPClient%4Operational.evtx</code> 中的事件ID 1024是一个有时会被忽略的事件，它专门与远程桌面中的ActiveX控件相关。</p> https://blog.qife122.com/p/windows-srum%E5%8F%96%E8%AF%81%E6%8A%80%E6%9C%AF%E6%B7%B1%E5%85%A5%E8%A7%A3%E6%9E%90%E7%B3%BB%E7%BB%9F%E8%B5%84%E6%BA%90%E4%BD%BF%E7%94%A8%E7%9B%91%E6%8E%A7%E5%99%A8%E7%9A%84%E6%8C%91%E6%88%98%E4%B8%8E%E9%AA%8C%E8%AF%81/ Thu, 04 Dec 2025 02:18:19 +0800 https://blog.qife122.com/p/windows-srum%E5%8F%96%E8%AF%81%E6%8A%80%E6%9C%AF%E6%B7%B1%E5%85%A5%E8%A7%A3%E6%9E%90%E7%B3%BB%E7%BB%9F%E8%B5%84%E6%BA%90%E4%BD%BF%E7%94%A8%E7%9B%91%E6%8E%A7%E5%99%A8%E7%9A%84%E6%8C%91%E6%88%98%E4%B8%8E%E9%AA%8C%E8%AF%81/ <h3 id="周日趣味挑战srum取证">周日趣味挑战：SRUM取证！</h3> <p>本周由David Cowen提出的“周日趣味”挑战主题是SRUM取证。挑战内容如下：</p> <p><strong>挑战：</strong> 鉴于我们许多人都依赖SRUM来完成各种不同的任务，现在正是时候对大家频繁引用的计数器进行一些验证。本次挑战要求你测试并验证以下SRUM收集的指标，并记录它们是否准确捕获了数据，或者是否存在偏差。</p> https://blog.qife122.com/p/windows-11-%E6%88%AA%E5%9B%BE%E7%BC%93%E5%AD%98%E8%B7%AF%E5%BE%84%E4%B8%8E%E5%8F%96%E8%AF%81%E5%88%86%E6%9E%90/ Wed, 03 Dec 2025 12:01:18 +0800 https://blog.qife122.com/p/windows-11-%E6%88%AA%E5%9B%BE%E7%BC%93%E5%AD%98%E8%B7%AF%E5%BE%84%E4%B8%8E%E5%8F%96%E8%AF%81%E5%88%86%E6%9E%90/ <h2 id="windows-11-中的缓存截图">Windows 11 中的缓存截图</h2> <p>以前，我写过关于Windows如何通过shell项跟踪截图，并将内容缓存到特定目录的文章。虽然这篇博客文章不会有什么突破性的发现，但我想分享一些关于Windows 11上新版“截图工具”的有趣发现。</p> https://blog.qife122.com/p/windows-11%E6%95%B0%E5%AD%97%E5%8F%96%E8%AF%81%E8%A7%86%E8%A7%92%E4%B8%8B%E7%9A%84%E5%85%B3%E9%94%AE%E6%8A%80%E6%9C%AF%E4%B8%8E%E5%8F%96%E8%AF%81%E5%8F%98%E5%8C%96/ Wed, 05 Nov 2025 12:25:23 +0800 https://blog.qife122.com/p/windows-11%E6%95%B0%E5%AD%97%E5%8F%96%E8%AF%81%E8%A7%86%E8%A7%92%E4%B8%8B%E7%9A%84%E5%85%B3%E9%94%AE%E6%8A%80%E6%9C%AF%E4%B8%8E%E5%8F%96%E8%AF%81%E5%8F%98%E5%8C%96/ <h1 id="windows-11数字取证视角下的关键技术与取证变化">Windows 11数字取证视角下的关键技术与取证变化</h1> <h2 id="引言">引言</h2> <p>Windows 11已于几年前发布，但企业采用率相对较低。根据我们全球应急响应团队（GERT）调查的统计数据，直到2025年初，我们发现已于2020年终止支持的Windows 7的出现频率仅略低于最新的操作系统。大多数系统仍在运行Windows 10。</p> https://blog.qife122.com/p/windows%E4%BA%8B%E4%BB%B6%E5%93%8D%E5%BA%94%E4%B8%AD%E7%9A%84%E7%A8%8B%E5%BA%8F%E6%89%A7%E8%A1%8C%E8%AF%81%E6%8D%AE%E8%BE%A8%E6%9E%90/ Sun, 02 Nov 2025 14:35:21 +0800 https://blog.qife122.com/p/windows%E4%BA%8B%E4%BB%B6%E5%93%8D%E5%BA%94%E4%B8%AD%E7%9A%84%E7%A8%8B%E5%BA%8F%E6%89%A7%E8%A1%8C%E8%AF%81%E6%8D%AE%E8%BE%A8%E6%9E%90/ <h2 id="程序执行后续探讨">程序执行：后续探讨</h2> <p>去年11月，我发表了一篇题为《程序执行：ShimCache/AmCache神话》的博客文章，旨在再次集中记录这些工件的含义。我这样做是因为我不断看到“&hellip;这些工件说明了程序执行&hellip;”的说法反复出现，而这根本是不正确的。</p> https://blog.qife122.com/p/recentapps%E6%B3%A8%E5%86%8C%E8%A1%A8%E9%94%AE%E5%80%BC-%E6%95%B0%E5%AD%97%E5%8F%96%E8%AF%81%E5%88%86%E6%9E%90%E6%8C%87%E5%8D%97/ Sun, 02 Nov 2025 14:13:19 +0800 https://blog.qife122.com/p/recentapps%E6%B3%A8%E5%86%8C%E8%A1%A8%E9%94%AE%E5%80%BC-%E6%95%B0%E5%AD%97%E5%8F%96%E8%AF%81%E5%88%86%E6%9E%90%E6%8C%87%E5%8D%97/ <h1 id="recentapps注册表键值---数字取证分析">RecentApps注册表键值 - 数字取证分析</h1> <h2 id="概述">概述</h2> <p>RecentApps注册表键值是Windows操作系统中记录用户最近使用应用程序信息的重要数据源，在数字取证调查中具有关键价值。</p> https://blog.qife122.com/p/%E6%B5%8F%E8%A7%88%E5%99%A8%E5%AF%86%E7%A0%81%E6%8F%90%E5%8F%96%E5%8F%96%E8%AF%81%E5%88%86%E6%9E%90%E9%BB%91%E5%AE%A2%E5%B7%A5%E5%85%B7%E7%97%95%E8%BF%B9%E6%A3%80%E6%B5%8B%E6%8C%87%E5%8D%97/ Sat, 01 Nov 2025 10:33:31 +0800 https://blog.qife122.com/p/%E6%B5%8F%E8%A7%88%E5%99%A8%E5%AF%86%E7%A0%81%E6%8F%90%E5%8F%96%E5%8F%96%E8%AF%81%E5%88%86%E6%9E%90%E9%BB%91%E5%AE%A2%E5%B7%A5%E5%85%B7%E7%97%95%E8%BF%B9%E6%A3%80%E6%B5%8B%E6%8C%87%E5%8D%97/ <h1 id="每日博客-813解决方案星期六-41925">每日博客 #813：解决方案星期六 4/19/25</h1> <p><strong>作者：David Cowen</strong></p> <p><strong>日期：2025年4月19日</strong></p> <p><strong>分类：每日博客</strong></p> <hr> <p>各位读者大家好，</p> <p>又一周过去了，但Chris Eng的连胜纪录仍在继续！明天本周挑战即将开始，现在轮到大家决定是否准备好迎接挑战了！</p> https://blog.qife122.com/p/windows-11-wordwheelquery-%E6%8A%80%E6%9C%AF%E8%A7%A3%E6%9E%90%E4%B8%8E%E5%8F%96%E8%AF%81%E5%BD%B1%E5%93%8D/ Fri, 31 Oct 2025 11:48:57 +0800 https://blog.qife122.com/p/windows-11-wordwheelquery-%E6%8A%80%E6%9C%AF%E8%A7%A3%E6%9E%90%E4%B8%8E%E5%8F%96%E8%AF%81%E5%BD%B1%E5%93%8D/ <h1 id="windows-11-wordwheelquery-的技术困境">Windows 11 WordWheelQuery 的技术困境</h1> <p>最近，我的SANS讲师同事Mattia Epifani指出，在Windows 11 23H2中，WordWheelQuery值不再被填充。是时候进行一些测试了！</p> https://blog.qife122.com/p/srum%E5%8F%96%E8%AF%81%E6%8A%80%E6%9C%AF%E5%AE%9E%E6%88%98%E5%88%86%E6%9E%90windows%E7%B3%BB%E7%BB%9F%E7%9B%91%E6%8E%A7%E6%95%B0%E6%8D%AE%E9%AA%8C%E8%AF%81/ Sat, 25 Oct 2025 10:53:21 +0800 https://blog.qife122.com/p/srum%E5%8F%96%E8%AF%81%E6%8A%80%E6%9C%AF%E5%AE%9E%E6%88%98%E5%88%86%E6%9E%90windows%E7%B3%BB%E7%BB%9F%E7%9B%91%E6%8E%A7%E6%95%B0%E6%8D%AE%E9%AA%8C%E8%AF%81/ <h2 id="srumday-funday">SRUMday Funday!</h2> <p>本周由David Cowen提出的Sunday Funday挑战聚焦于SRUM取证。挑战内容如下：</p> <p><strong>挑战：</strong> 鉴于我们中许多人依赖SRUM实现各种用途，现在需要对许多人引用的计数器进行验证。本次挑战将测试并验证以下SRUM收集的指标，记录它们是否准确捕获数据或存在偏差。</p> https://blog.qife122.com/p/regripper%E5%B7%A5%E5%85%B7%E6%B7%B1%E5%BA%A6%E8%A7%A3%E6%9E%90windows%E6%B3%A8%E5%86%8C%E8%A1%A8%E5%8F%96%E8%AF%81%E4%B8%8E%E4%BA%8B%E5%8A%A1%E6%97%A5%E5%BF%97%E5%A4%84%E7%90%86/ Fri, 24 Oct 2025 18:15:05 +0800 https://blog.qife122.com/p/regripper%E5%B7%A5%E5%85%B7%E6%B7%B1%E5%BA%A6%E8%A7%A3%E6%9E%90windows%E6%B3%A8%E5%86%8C%E8%A1%A8%E5%8F%96%E8%AF%81%E4%B8%8E%E4%BA%8B%E5%8A%A1%E6%97%A5%E5%BF%97%E5%A4%84%E7%90%86/ <h2 id="regripper">RegRipper</h2> <p>Cyber Triage的优秀团队最近发布了他们的《2025年注册表取证工具指南》，由于我对Windows注册表颇为关注，便饶有兴趣地阅读了这篇文章。该文章写得非常好，为刚接触DF/IR工作和Windows注册表的新手提供了极好的基础知识。</p> https://blog.qife122.com/p/%E5%88%A9%E7%94%A8lnk%E6%96%87%E4%BB%B6%E8%BF%BD%E8%B8%AA%E5%B1%8F%E5%B9%95%E6%88%AA%E5%9B%BE%E5%8F%96%E8%AF%81%E6%8A%80%E6%9C%AF/ Thu, 23 Oct 2025 20:25:06 +0800 https://blog.qife122.com/p/%E5%88%A9%E7%94%A8lnk%E6%96%87%E4%BB%B6%E8%BF%BD%E8%B8%AA%E5%B1%8F%E5%B9%95%E6%88%AA%E5%9B%BE%E5%8F%96%E8%AF%81%E6%8A%80%E6%9C%AF/ <h1 id="利用lnk文件追踪屏幕截图">利用LNK文件追踪屏幕截图</h1> <p>在某个历史时刻，微软引入了Snipping Tool（截图工具）。世界为之欢呼，因为一个简单的截图工具被添加到Windows中，使得截取屏幕部分区域比按Print-Screen键然后打开Paint更容易。</p> https://blog.qife122.com/p/%E6%B7%B1%E5%85%A5%E8%A7%A3%E6%9E%90userassistwindows%E5%8F%96%E8%AF%81%E4%B8%AD%E7%9A%84%E5%85%B3%E9%94%AE%E5%B7%A5%E4%BB%B6%E4%B8%8Eir%E5%BA%94%E7%94%A8/ Wed, 17 Sep 2025 09:46:08 +0800 https://blog.qife122.com/p/%E6%B7%B1%E5%85%A5%E8%A7%A3%E6%9E%90userassistwindows%E5%8F%96%E8%AF%81%E4%B8%AD%E7%9A%84%E5%85%B3%E9%94%AE%E5%B7%A5%E4%BB%B6%E4%B8%8Eir%E5%BA%94%E7%94%A8/ <h1 id="引言">引言</h1> <p>作为全球应急响应团队（GERT）成员，我们日常依赖取证工件开展调查，UserAssist是最关键的工件之一。它包含宝贵的执行信息，可帮助追踪敌对活动并检测恶意软件。然而，UserAssist尚未被深入研究，存在数据解释和记录条件等方面的知识空白。本文提供对UserAssist工件的深度分析，阐明其数据表示的模糊性。我们将讨论工件创建和更新的工作流程、UEME_CTLSESSION值结构及其在记录UserAssist数据中的作用，并介绍此前未知的UserAssist数据结构。</p> https://blog.qife122.com/p/%E6%B7%B1%E5%85%A5%E8%A7%A3%E6%9E%90userassistwindows%E5%8F%96%E8%AF%81%E4%B8%AD%E7%9A%84%E5%85%B3%E9%94%AE%E5%B7%A5%E4%BB%B6%E7%BB%93%E6%9E%84%E4%B8%8E%E5%BA%94%E7%94%A8/ Tue, 09 Sep 2025 03:30:16 +0800 https://blog.qife122.com/p/%E6%B7%B1%E5%85%A5%E8%A7%A3%E6%9E%90userassistwindows%E5%8F%96%E8%AF%81%E4%B8%AD%E7%9A%84%E5%85%B3%E9%94%AE%E5%B7%A5%E4%BB%B6%E7%BB%93%E6%9E%84%E4%B8%8E%E5%BA%94%E7%94%A8/ <h1 id="userassist工件回顾">UserAssist工件回顾</h1> <p>UserAssist是Windows中用于记录GUI程序执行的知名取证工件，存储以下关键数据：</p> <ul> <li>程序名称：完整程序路径</li> <li>运行次数：程序执行次数</li> <li>焦点次数：程序被置为焦点的次数</li> <li>焦点时间：程序处于焦点状态的总时间</li> <li>最后执行时间：最后一次执行的时间戳</li> </ul> <p>该工件位于每个NTUSER.DAT注册表配置单元的<code>Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist\</code>路径下，包含以GUID命名的子键，其中最重要的两个GUID为：</p>