| 用途 | 介质接入与搬运路径 |
|---|---|
| 位置 | SYSTEM hive 下 Enum/USBSTOR 与 setupapi.dev.log |
查询
查询
reg query HKLM\SYSTEM\CurrentControlSet\Enum\USBSTOR /s | findstr /i "Disk Ven"卷序列号与 LNK 解析结果可交叉确认介质身份。
可移动介质使用痕迹
U 盘接入痕迹散布在注册表与日志：USBSTOR 键、setupapi 日志与卷挂载记录共同还原介质插拔史。
易错点
- 用户痕迹与设备痕迹是两类记录，需分别取证
- 设备序列号可能被伪造，配合文件操作痕迹
数据来源与参考
- Microsoft Docs（USBSTOR 与装载日志）