Windows 取证55 条

命令提示符历史与运行痕迹

老版本 cmd 无内建历史，但 RunMRU 记录"运行"对话框输入：快速还原被执行的单行命令与路径。

用途	运行对话框与服务化启动线索
位置	HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU

导出

reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU"

条目按 MRUList 顺序解读最近使用次序。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌