Windows 取证55 条

自启动注册表键核查

Run/RunOnce 系列键是经典自启动点：键值指向的路径、写入时间与登录后进程启动要串起来看。

用途	登录触发型持久化核查
位置	HKLM/HKCU 下 ...\CurrentVersion\Run 与 RunOnce

导出

reg query HKLM\Software\Microsoft\Windows\CurrentVersion\Run /s
reg query HKCU\Software\Microsoft\Windows\CurrentVersion\Run /s

键值改动时间在 hive 内无逐键记录，需借助 Sysmon 事件 13。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌