本地信息收集 补充

一、最近访问的文件

//查看最近访问的文件
dir c:\users\%username%\appdata\roaming\microsoft\windows\recent\*.lnk

//查看最近访问的office文件
dir c:\users\%username%\appdata\roaming\microsoft\office\recent\*.lnk

//查看快捷启动
dir "c:\users\%username%\appdata\roaming\microsoft\Internet Explorer\Quick Launch\*.lnk"
dir "c:\users\%username%\appdata\roaming\microsoft\Internet Explorer\Quick Launch\*.lnk" /s

//查看开始菜单
dir "c:\users\%username%\appdata\roaming\microsoft\Windows\Start Menu\*.lnk"
dir "c:\users\%username%\appdata\roaming\microsoft\Windows\Start Menu\*.lnk" /s

//查看桌面快捷方式
dir "c:\users\%username%\desktop\*.lnk"

 Notepad++相关

//Notepad++最近打开的文件
c:\users\%username%\appdata\roaming\notepad++\config.xml

//Notepad++正在打开的文件
c:\users\%username%\appdata\roaming\notepad++\session.xml

//Notepad++备份的文件
c:\users\%username%\appdata\roaming\notepad++\backup\*

二、删除的文件

查看回收站目录

其中$I开头的文件保存的是路径信息，$R保存的是文件

//cmd
for /f "skip=1 tokens=1,2 delims= " %c in ('wmic useraccount get name^,sid') do @for /f %i in ('dir /a /b C:\$Recycle.Bin\%d\ 2^>^&0 ^| findstr /v \-') do @echo %c:C:\$Recycle.Bin\%d\%i

Powershell命令结果则要更全一些

//powershell
$Recycler = (New-Object -ComObject Shell.Application).NameSpace(0xa);
foreach($file in $Recycler.items()){$file.path;$file.ExtendedProperty("{9B174B33-40FF-11D2-A27E-00C04FC30871} 2")+'\'+$file.name;$file.Type}

三、寻找特定文件

• 文件位置：桌面、网络共享、所有磁盘
• 密码关键词：password、passwd、pwd、server list
• 网络拓扑：Diagram、.vsd、network、intranet、topology、topologies
• 特定后缀：kdbx、ovpn、vsd、vsdx、xls、xlsx等

四、根据内容搜索文件

dir、tree、findstr命令

dir /s c:\users\test\desktop\*pwd*
等