| 用途 | 用户级程序使用佐证 |
|---|---|
| 位置 | NTUSER.DAT → Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist |
解析
解析
# 加载 NTUSER.DAT 后用注册表工具导出，值名 ROT13 解码
python3 -c "import codecs;print(codecs.decode('Vg vf n grfg','rot13'))"与 Prefetch 交叉核对执行时间与次数口径。
本包目录（137 条）
溯源思路与流程30 条日志溯源35 条流量与样本溯源30 条
Windows 取证42 条
- 登录成功事件（4624）字段解读
- 安全日志关键事件速览
- PowerShell 脚本块日志（4104）
- PowerShell 控制台历史
- Windows 痕迹工具链速览
- 进程创建事件（4688）取证用法
- Sysmon 进程创建（事件 1）
- Sysmon 网络连接（事件 3）
- Sysmon 文件创建（事件 11）
- Sysmon 注册表修改（事件 13）
- Prefetch 痕迹解析
- ShimCache（AppCompatCache）解读
- UserAssist 程序使用痕迹
- LNK 快捷方式文件分析
- USN Journal 变更记录
- $MFT 主文件表解析
- WMI 事件订阅持久化核查
- 计划任务文件与事件联合核查
- RDP 使用痕迹收集
- Zone.Identifier 下载来源标记
- 账号管理事件（4720 系列）
- Defender 检测与处置日志
- DNS 缓存与解析记录核查
- 可移动介质使用痕迹
- 浏览器历史取证要点
- Windows 错误报告（WER）痕迹
- 安装痕迹与 MSI 日志
- NTFS 时间戳语义与篡改识别
- 特权登录事件（4672）说明
- Amcache 使用痕迹
- 跳转列表（Jump Lists）分析
- Shellbags 目录浏览痕迹
- SRUM 资源使用记录
- 卷影副本（VSS）利用
- 注册表配置单元离线加载
- 自启动注册表键核查
- 持久化点清单化排查
- BITS 任务痕迹核查
- 回收站痕迹解析
- Windows 防火墙日志
- 活动连接与进程映射
- 命令提示符历史与运行痕迹
UserAssist 程序使用痕迹
UserAssist 记录用户通过资源管理器启动的程序与运行次数，值名经 ROT13 编码，位于用户配置单元。
易错点
- 只记 GUI 启动路径，命令行启动可能不体现
- 计数格式按版本变化，解析脚本要区分
数据来源与参考
- 注册表取证通用实践（UserAssist 文档）