ShimCache 解读是什么
应用程序兼容性缓存（ShimCache，也叫 AppCompatCache）存放在系统配置单元里，记录系统见过的可执行文件路径与相关时间信息。它对没有 Prefetch 的系统价值更高，能提示哪些程序曾出现在这台主机上，但「是否真的执行」要靠其他痕迹佐证。
基本信息
| 适用平台 | Windows，条目保存于 SYSTEM 配置单元 |
|---|---|
| 位置 | SYSTEM 配置单元下会话管理器中的 AppCompatCache 键 |
| 解析工具 | AppCompatCacheParser（Zimmerman 工具集） |
| 语义注意 | 不同 Windows 版本提供的时间字段并不一致 |
典型使用场景
- 服务器等没有 Prefetch 的主机上补充执行线索
- 提示曾出现在系统中的可执行文件路径
- 与 Prefetch、事件日志交叉验证执行史
- 排查从临时目录或用户目录运行的程序
- 离线镜像分析时提取历史痕迹
- 与 Prefetch 结果取并集，覆盖没有 Prefetch 记录的程序
解析
解析
AppCompatCacheParser.exe -f SYSTEM --csv out/ --csvf shimcache.csv
# 直接解析 SYSTEM 配置单元，输出路径与部分版本提供的时间、执行标志
# 条目大致按最近处理顺序排列，不能当作精确时间线使用字段读法
| 字段 | 含义 | 注意 |
|---|---|---|
| 路径 | 系统处理过的可执行文件路径 | 不等于一定被用户执行 |
| 时间字段 | 部分版本提供 | 旧版本可能没有，缺失时不必强行解释 |
| 执行标志 | 部分版本提供 | 用于区分是否真正执行过 |
| 条目顺序 | 大致按最近处理排序 | 只能作为线索，不是精确时间线 |
Windows 10 起时间戳的解读方式有变化，工具会自动区分格式；下结论前先确认工具版本与目标系统版本是否匹配。
条目可能因系统更新或配置变化被重写，分析时要带上版本上下文，不要把条目当成永久不变的记录。
把条目路径按目录归类：临时目录与用户目录下的可执行文件优先级最高，标准安装目录下的条目参考价值相对低。