在取证过程中，常见的一些注册表键值整理

♥电脑名称键值 system表

ControlSeto01\control\computername\computername

 

♥查看tcpip的更新时间 查看

 

ControlSeto01\control\services\Tcpip\parameters 查看其键值

❤查看usb设备的相关信息 usbstor表示U盘

system表 controlSet001\enum\usbstor\disk&ven_segeate&prod_expansive----\NAA6D---

可以看到 usb的相关信息

 

在ontrolSet001\enum\usbstor\disk&ven_segeate&prod_expansive----\NAA6D--- \properties 中可以看到以下三个 usb的

 

对应了如下的一些时间 参考文章Windows 8系统中的USB设备连接时间戳问题的研究 - 道客巴巴 (doc88.com)

 

❤打印机在注册表中的位置

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Print\Components

 

❤系统详细版本号 software表

microsoft/windows NT /current version 系统版本号和系统信号和提供的服务名

❤浏览器安装时间 和一些应用的安装时间 software表

microsoft/windows NT /current version/uninstall

❤谷歌浏览器安装时间

users-Administrator-NTUSER.DAT--software--microsoft-Windows-uninstall

❤WOW6432Node

❤时区信息 software表

❤默认浏览器位置 sofeware表

\Microsoft\Windows\Shell\Associations\UrlAssociations\http\UserChoice