| 用途 | 补充程序执行时间线 |
|---|---|
| 字段 | 执行次数 / 首末执行时间 / 引用文件 |
解析
解析
PECmd.exe -d C:/Windows/Prefetch --csv out/ --csvf prefetch.csv
# 支持单文件 -f 与目录 -dPrefetch 计数有窗口限制，次数以"近似"口径使用。
Prefetch 痕迹解析
Prefetch 记录程序执行与加载的文件引用：常驻目录 C:/Windows/Prefetch，按执行时间排序可补全执行史。
易错点
- Windows 7 后默认 1024 条滚动，早期记录会丢失
- 服务器系统可能关闭 Prefetch，缺失需说明
数据来源与参考
- Zimmerman PECmd 工具文档