| Prefetch | C:\Windows\Prefetch\*.pf |
|---|---|
| Amcache | C:\Windows\AppCompat\Programs\Amcache.hve |
| ShimCache | AppCompatCache 注册表项 |
| 解读 | 结合工具解析与时间戳交叉印证 |
导出关键产物线索
导出关键产物线索
Get-ChildItem C:\Windows\Prefetch\*.pf | Sort-Object LastWriteTime -Descending | Select-Object -First 20 Name, LastWriteTime
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\AppCompatCache" /v AppCompatCache
Get-Item C:\Windows\AppCompat\Programs\Amcache.hve -ErrorAction SilentlyContinue | Select-Object FullName, LastWriteTime建议用专用解析工具（PECmd、AmcacheParser 等）处理；直接读原始文件容易误读。