UserAssist 程序使用痕迹是什么
UserAssist 记录用户通过资源管理器启动的程序及其运行次数，存放在用户配置单元里，值名经过 ROT13 编码。它回答的是「用户自己点开了什么」，属于用户级使用痕迹的佐证，与系统级执行痕迹互为补充。
基本信息
| 适用平台 | Windows，每个用户各有一份 |
|---|---|
| 位置 | 用户配置单元下资源管理器相关的 UserAssist 键 |
| 编码 | 值名使用 ROT13 编码，需解码后再阅读 |
| 互补数据 | 与 Prefetch 交叉核对执行时间与次数口径 |
典型使用场景
- 判断某程序是否由用户手工启动
- 补充用户级使用史，在共享桌面上区分使用者
- 与系统级执行痕迹交叉验证
- 排查通过资源管理器打开的可疑文件
- 结合用户配置单元做离线分析
- 在同一台共享桌面上比对不同用户的条目，区分实际操作者
解析
解析
# 加载用户配置单元后用注册表工具导出 UserAssist 键，再把值名做 ROT13 解码
python3 -c "import codecs; print(codecs.decode('Vg vf n grfg','rot13'))" # 解码示例
# 常用解析工具会自动完成 ROT13 解码与计数格式转换字段读法
| 字段 | 含义 | 注意 |
|---|---|---|
| 值名（解码后） | 被启动程序的路径 | 含目录标识结构，需分段阅读 |
| 运行次数 | 启动次数 | 不同系统版本的存储格式不同 |
| 最后使用时间 | 最近启动时间 | 与 Prefetch 交叉核对 |
| 焦点相关字段 | 窗口获得焦点的次数 | 较新版本中含义有变化 |
计数与时间字段的格式随 Windows 版本变化，解析脚本要区分版本，否则读出来的数字本身就是错的。
该痕迹只覆盖通过资源管理器启动的路径：命令行启动与服务启动通常不体现，缺失不能推断未使用。
值名解码后按目录归类，临时目录与用户下载目录下的程序优先看。
解析结果要与用户配置单元的最近活动时间对齐，才能判断使用行为发生在哪个时间段。