c++程序影像读取_应急响应手册程序执行痕迹

接上一篇应急响应手册-Windows排查流程，程序的执行痕迹可以从注册表、文件、日志三个方面介绍。

01

—

注册表

(1) ShimCache

微软使用了ShimCache或“AppCompatCache”来识别应用程序的兼容性问题。缓存数据能够追踪文件路径、大小、最后修改时间和最后一次运行的时间。如果一个文件以Windows进程的形式执行过，那么它的信息将会被记录到ShimCache中，但是ShimCache中记录的文件信息并不能100%证明一个文件执行过，因为它只能证明Windows曾与该文件交互过，其中在Windows7/8/10系统中最多包含1024条记录，Windows7/8/10系统中不存在“上次更新时间”。

注册表中位置：

HKLM\SYSTEM\CurrentControlSet\Control\SessionManager\AppCompatCache

辅助工具下载地址：https://ericzimmerman.github.io/#!index.md

AppCompatCacheParser

使用方法：

执行以下命令，获取注册表的信息：

AppCompatCacheParser.exe --