Windows 取证55 条

注册表键 LastWrite 时间解读

每个注册表键带 LastWrite 时间，常用于判断配置写入或持久化创建时间；hive 存在延迟写入，需结合关机/落盘机制理解。

查看	Registry Explorer、RECmd 或 Linux 下 reglookup/hivexsh
语义	最后一次写该键或其子键的时间，非精确到值级别

枚举与查看

reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run"
# Linux 分析 hive
# reglookup -t key /evidence/NTUSER.DAT | head

系统运行期间 hive 修改在内存中累积，异常关机可能丢失最近写入；LastWrite 需与工件行为互相印证。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌