《Windows取证分析》

最新推荐文章于 2023-03-26 22:28:13 发布

kanone0seele

最新推荐文章于 2023-03-26 22:28:13 发布

阅读量5.3k

点赞数

分类专栏： Books 文章标签： windows microsoft 存储文档扩展 powerpoint

本文链接：https://blog.csdn.net/kanone0seele/article/details/5687969

版权

摘要由CSDN通过智能技术生成

工具网站： http://www.ntsecurity.nu/toolbox/

命令行历史：命令行模式 CMD 中使 doskey /history 命令可以显示前面输入的命令情况（例如使用 cls 命令清屏之后可以用此察看之前的命令），但是如果是关闭 CMD 之后运行则无法查到关闭之前输入的命令。

共享：在系统注册表的 HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/lanmanserver/Shares

（针对 Windows XP 系统，高于此版本的可能有些变化）可以获取到系统的共享信息。

清除页面交换文件： Windows 使用虚拟内存架构，一些进程使用的内存内容会被交换出去，位于交换文件中。系统关闭时，交换文件中的信息会在硬盘上保持不变，其中可能会有解密的密码，聊天会话信息和其他字符串信息。如果关机时清除了交换文件则这些潜在的信息就很难被提取出来。在注册表中的 ClearPageFileAtShutdown 键值可以起到这个作用。以下引用自 Microsoft 知识库（ http://support.microsoft.com/kb/314834/en-us/ ）：

Start Registry Editor (Regedt32.exe).
Change the data value of the ClearPageFileAtShutdown value in the following registry key to a value of 1 :

HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Control/Session Manager/Memory Management

If the value does not exist, add the following value:

Value Name: ClearPageFileAtShutdown
Value Type: REG_DWORD
Value: 1

This change does not take effect until you restart the computer.

禁用文件最后访问时间的修改： Windows 可以禁用文件最后访问时间的修改，这对于那些使用频繁的文件服务器有提高系统性能的好处，但对于日常使用的电脑则作用不大。以下引用自 Microsoft 知识库（ http://support.microsoft.com/default.aspx?scid=kb;en-us;555041 ）：

Created HKLM/System/CurrentControlSet/Control/FileSystem/Disablelastaccess and set to 1 .
This will disable the last access information written to each file as it is accessed. The result is faster hard disk file read-access.

这只针对 Windows XP 和 Windows 2003 系统，而在 Windows Vista 系统中这个键值是默认激活的。