Windows 取证55 条

Shellbags 目录浏览痕迹

Shellbags 记录用户浏览过的文件夹及其视图设置：能证明对目录的访问，即使目录已删除或设备已移除。

用途	目录访问与介质关联
位置	UsrClass.dat → Local Settings\Software\Microsoft\Windows\Shell

解析

SBECmd.exe -d C:/Users/user/AppData/Local/Microsoft/Windows/UsrClass.dat --csv out/

可移动介质卷的访问路径会保留在条目里。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌