Windows 取证55 条

Zone.Identifier 下载来源标记

从网络保存的文件常带 Zone.Identifier 标记：记录来源域与引用页，是"文件从哪来"的直接证据。

用途	文件来源归因
位置	文件附加数据流 Zone.Identifier

读取

Get-Content -LiteralPath 'C:/Users/u/Downloads/setup.exe' -Stream Zone.Identifier
Get-Item -Stream * 'C:/Users/u/Downloads/setup.exe'

企业网关与浏览器策略会追加来源信息，内容更全。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌