Windows 取证55 条

BITS 任务痕迹核查

BITS 用于后台传输，常被滥用做下载：任务记录在 bitsadmin 与事件日志中，带源 URL 与本地路径。

用途	后台下载行为还原
来源	bitsadmin /list /allusers /verbose 与相应事件

查看

bitsadmin /list /allusers /verbose
# 事件：Microsoft-Windows-Bits-Client/Operational

完成任务的历史记录同样有取证价值，别只存当前队列。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌