首页/安全/取证与溯源速查/Windows 错误报告(WER)痕迹
本包目录(137 条)

Windows 错误报告(WER)痕迹

WER 在程序崩溃时留存报告:可发现异常程序崩溃、被结束进程等事件,目录名含时间与进程信息。

取证与溯源速查安全更新于 2026-10-12
用途崩溃与异常退出线索
位置ProgramData/Microsoft/Windows/WER/ReportArchive 与 ReportQueue

清单

清单
Get-ChildItem 'C:/ProgramData/Microsoft/Windows/WER' -Recurse -Depth 2 | Select FullName, CreationTime | Sort CreationTime -Descending | Select -First 20
崩溃模块与嫌疑进程相关时值得深入读报告内容。

易错点

  • 报告目录名时间与事件时间可能有延迟,交叉核实
  • 清理工具会清 WER,缺失不代表未崩溃

数据来源与参考

  • Microsoft Docs(WER 报告结构)
​‌‌​​‌​​​‌‌​‌‌‌‌​‌‌​​​‌‌​‌‌‌​​‌‌​​‌​‌‌‌​​‌‌‌​​​‌​‌‌​‌​​‌​‌‌‌​​​‌​‌‌​‌​​‌​‌‌​​​‌‌​‌‌‌​‌​​​‌‌​‌‌‌‌​​‌​‌‌‌​​‌‌​​​‌‌​‌‌​‌‌‌‌​‌‌​‌‌​‌