可移动介质痕迹来源
U 盘、移动硬盘在 Windows 上留下的痕迹分成设备侧与用户侧两类。设备侧在注册表 SYSTEM 配置单元的 USBSTOR 键下记录设备类型、厂商、产品与序列号，以及首次接入时间；用户侧的 Recent 目录里的 LNK 快捷方式、Shellbags 与卷挂载记录，则说明哪个用户访问过该介质上的哪个目录。两类记录要分别取证，再把卷序列号与路径串起来，才能形成“谁在什么时候用哪个介质拷了什么”的完整判断。
基本信息
| 适用平台 | Windows XP 以后各版本客户端与服务器 |
|---|---|
| 注册表位置 | HKLM\SYSTEM\CurrentControlSet\Enum\USBSTOR 与 \MountedDevices |
| 系统日志 | C:\Windows\INF\setupapi.dev.log 记录设备安装与首次接入时间 |
| 用户侧痕迹 | %USERPROFILE%\AppData\Roaming\Microsoft\Windows\Recent 下的 LNK、Shellbags 中的卷路径 |
| 权限要求 | 读取 HKLM 的 SYSTEM 配置单元与 setupapi 日志通常需要管理员权限 |
典型使用场景
- 确认在事件窗口内是否有外部存储设备接入本机，判断数据外带的可能性
- 识别被用于搬运数据的介质：序列号与卷标可用于跨主机同一设备的比对
- 还原访问路径：LNK 与 Shellbags 能说明介质上哪些目录被浏览或打开过
- 核查设备是否被伪装：序列号与厂商信息与实际设备台账不符时需进一步验证
- 为丢失或被盗介质的调查提供接入时间证据
查询设备与安装记录
查询设备与安装记录
:: 列出 USB 存储设备及其序列号
reg query HKLM\SYSTEM\CurrentControlSet\Enum\USBSTOR /s | findstr /i "Disk Ven"
:: 查看设备首次接入时间（时间戳格式的 Properties 子键）
reg query HKLM\SYSTEM\CurrentControlSet\Enum\USBSTOR /s /v "(i)"
:: 设备安装日志里查找接入记录
findstr /i "USBSTOR" C:\Windows\INF\setupapi.dev.log用户侧痕迹清单
用户侧痕迹清单
# 最近访问的快捷方式（可能指向可移动介质路径）
Get-ChildItem "$env:APPDATA\Microsoft\Windows\Recent" -Filter *.lnk |
Select-Object Name, LastWriteTime | Sort-Object LastWriteTime -Descending
# 输出到文件留档，分析动作不要修改原始时间戳
Get-ChildItem "$env:APPDATA\Microsoft\Windows\Recent" -Filter *.lnk |
Select-Object Name, LastWriteTime | Export-Csv C:\case\recent-lnk.csv -NoTypeInformation -Encoding UTF8痕迹位置对照
| 位置 | 记录内容 | 判读要点 |
|---|---|---|
| USBSTOR 键 | 设备型号与序列号、首次接入时间 | 序列号是设备唯一标识，用于跨主机同一设备比对 |
| setupapi.dev.log | 设备安装过程与时间戳 | 接入时间精确到秒，注意日志可能被截断或轮转 |
| MountedDevices | 盘符与卷的映射关系 | 配合卷序列号判断介质出现过哪些盘符 |
| Recent 目录 LNK | 用户打开过的文件路径 | 路径含盘符与目录，可还原访问行为 |
| Shellbags | 浏览过的目录与视图设置 | 目录已被删除时仍可证明浏览行为 |
系统还会在事件日志中记录设备接入与移除（PnP 相关日志，如 Microsoft-Windows-DriverFrameworks-UserMode/Operational），不同 Windows 版本的事件 ID 有差异，引用前先在本机事件查看器里确认 ID 与含义。
接入类痕迹只说明设备出现过，不能直接等同于数据被复制。要形成外带结论，必须补齐文件访问与传输证据，并说明缺口。