干货 | Windows取证分析基础知识大全,赶快收藏!
2020-04-01 12:36:05 Author: www.secpulse.com(查看原文) 阅读量:310 收藏

以下文章来源于效率源公众号,作者源妹

想要做好取证分析工作,工具和技术只是辅助,思路才是核心和重点。本文将详细分享Microsoft Windows操作系统的基础数字取证知识,了解数据的存放位置和对应部件,便于快速确定关键证据,内容包括windows时间规则、文件下载、程序执行、文件删除/文件信息、浏览器资源、外部设备/USB使用、账户使用情况、文件/文件夹打开、网络活动/物理位置

◆◆
文章精华大合集
◆◆

01

windows 时间规则

1
标准信息

创建文件:文件修改、文件访问、文件metadata时间改变

访问文件:文件访问时间改变(NTFS win7+不变)

文件修改:文件修改,文件metadata时间改变

文件重命名:文件metadata时间改变

拷贝文件:文件修改时间继承自原始,文件访问,文件metadata,文件创建时间改变

文件移动:

1)同卷移动文件:文件metadata时间改变

2)跨卷移动文件

• 通过系统命令:修改时间来自原始文件,文件访问,文件metadata,文件创建时间改变

• 通过复制粘贴:文件修改,文件metadata,文件创建都来自原始文件,访问时间为复制粘贴时间

02

文件下载

1
打开/保存传输单元

XP:NTUSER.DATSoftwareMicrosoftWindowsCurrentVersionExplorerComDlg32OpenSaveMRU

Win7/8/10:

NTUSER.DATSoftwareMicrosoftWindowsCurrentVersionExplorerComDlg32OpenSavePIDlMRU

2
电子邮件附件:outlook

XP:

%USERPROFILE%LocalSettingsApplicationDataMicrosoftOutlook

Win7/8/10:

%USERPROFILE%AppDataLocalMicrosoftOutlook

OLK:

HKEY_CURRENT_USERSoftwareMicrosoftOffice对应版本OutlookSecurity

3
微信桌面版
C:Users<username>DocumentsWeChat Files微信号Files
4
QQ电脑版
C:Users<username>DocumentsTencent FilesQQ号FileRecv
5
skype历史

XP:

C:Documents and Settings<username>ApplicationSkype<skype-name>

Win7/8/10:

C:%USERPROFILE%AppDataRoamingSkype<skype-name>

6
浏览器

1)internet explorer

IE8-9:

%USERPROFILE%AppDataRoamingMicrosoftWindowsIEDownloadHistoryindex.dat

IE10-11:

%USERPROFILE%AppDataLocalMicrosoftWindowsWebCacheWebCacheV*.dat

2)firefox

v3-25:

%userprofile%AppDataRoamingMozilla FirefoxProfiles<random text>.defaultdownloads.sqlite

v26+:

%userprofile%AppDataRoamingMozilla FirefoxProfiles<random text>.defaultplaces.sqlite Table:moz_annos

3)chrome

Win7/8/10:

%USERPROFILE%AppDataLocalGoogleChromeUser DataDefaultHistory

7
下载(firefox,internet Explorer)管理器

1)firefox

XP:

%userprofile%Application DataMozilla FirefoxProfiles<random text>.defaultdownloads.sqlite

Win7/8/10:

%userprofile%AppDataRoamingMozilla FirefoxProfiles<random text>.defaultdownloads.sqlite

2)Internet Explorer

IE8-9:

%USERPROFILE%AppDataRoamingMicrosoftWindows IEDownloadHistory

IE10-11:

%USERPROFILE%AppDataLocalMicrosoftWindowsWebCache WebCacheV*.dat

8
ADS Zone.Identifier(备用数据流)

从XP SP2开始,当文件通过浏览器从“Internet区域”下载到NTFS卷时,会向文件中添加备用数据流。

03

程序执行

1
UserAssist

• NTUSER.DAT HIVE

• NTUSER.DATSoftwareMicrosoftWindowsCurrentversionExplorerUserAssist {GUID}Count

2
Windows10 时间轴

C:Users<profile>AppDataLocalConnectedDevicesPlatformL.<profile>ActivitiesCache.db

3
最近应用

NTUSER.DATSoftwareMicrosoftWindowsCurrent VersionSearchRecentApps

4
shimcache

XP:

SYSTEMCurrentControlSetControlSessionManagerAppCompatibility

Win7/8/10:

SYSTEMCurrentControlSetControlSession ManagerAppCompatCache

5
快速访问

Win7/8/10:

C:%USERPROFILE%AppDataRoamingMicrosoftWindowsRecent AutomaticDestinations

6
Amcache.hve(ProgramDataUpdater)

Win7/8/10:

C:WindowsAppCompatProgramsAmcache.hve

7
系统资源利用率管理器(SRUM)(数据库)

SOFTWAREMicrosoftWindowsNTCurrentVersionSRUMExtensions {d10ca2fe-6fcf4f6d-848e-b2e99266fa89} = Application Resource Usage Provider C:Windows System32SRU

8
BAM/DAM

• SYSTEMCurrentControlSetServicesbamUserSettings{SID} 

• SYSTEMCurrentControlSetServicesdamUserSettings{SID}

9
最新访问的MRU

XP:

NTUSER.DATSoftwareMicrosoftWindowsCurrentVersionExplorerComDlg32 LastVisitedMRU

Win7/8/10:

NTUSER.DATSoftwareMicrosoftWindowsCurrentVersionExplorerComDlg32 LastVisitedPidlMRU

10
prefetch

WinXP/7/8/10:

C:WindowsPrefetch

04

文件删除/文件信息

1
xp 查询-ACMRU

• NTUSER.DAT HIVE NTUSER.DATSoftwareMicrosoftSearch AssistantACMru####

2
缩略图(Thumbcache)

C:%USERPROFILE%AppDataLocalMicrosoftWindowsExplorer

3
Thumbs.db

WinXP/Win8|8.1:

在启用了家庭组的任何地方自动创建。

Win7/8/10:

在任何地方自动创建并通过UNC路径(本地或远程)访问。

4
IE|Edge file://

Internet Explorer

IE6-7:

%USERPROFILE%LocalSettingsHistoryHistory.IE5

IE8-9:

%USERPROFILE%AppDataLocalMicrosoftWindowsHistoryHistory.IE5

IE10-11:

%USERPROFILE%AppDataLocalMicrosoftWindowsWebCacheWebCacheV*.dat

5
轮词查询

Win7/8/10 NTUSER.DAT Hive:

NTUSER.DATSoftwareMicrosoftWindowsCurrentVersionExplorerWordWheelQuery

6
win7/8/10回收站

隐藏的系统文件夹

• C:$Recycle.bin

7
XP回收站

隐藏的系统文件夹

• C:RECYCLER" 2000/NT/XP/2003 

05

浏览器资源

1
历史信息

1)Internet Explorer

IE6-7:

%USERPROFILE%Local SettingsHistoryHistory.IE5

IE8-9:

%USERPROFILE%AppDataLocalMicrosoftWindowsHistory History.IE5

IE10, 11, Edge:

%USERPROFILE%AppDataLocalMicrosoftWindows WebCacheWebCacheV*.dat

2)Firefox

XP:

%USERPROFILE%Application DataMozillaFirefoxProfiles<random text>.defaultplaces.sqlite

Win7/8/10:

%USERPROFILE%AppDataRoamingMozillaFirefox Profiles<random text>.defaultplaces.sqlite

3)Chrome

XP:

%USERPROFILE%Local SettingsApplication DataGoogleChromeUser DataDefaultHistory

Win7/8/10:

%USERPROFILE%AppDataLocalGoogleChromeUser Data DefaultHistory

4)QQ浏览器

%USERPROFILE%AppDataLocalTencentQQBrowserUser DataDefaultHistory

2
书签信息

1)Internet Explorer

HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerUser Shell Folders下Favorites键值

Edge: 

%USERPROFILE%AppDataLocalPackagesmicrosoft.

microsoftedge_<APPID>ACMicrosoftEdgeCookies

2)Firefox 

XP:   

%USERPROFILE%Application DataMozillaFirefoxProfiles<random text>.defaultplaces.sqlite 

Win7/8/10:

 %USERPROFILE%AppDataRoamingMozillaFirefox Profiles<random text>.defaultplaces.sqlite 

3)Chrome

XP: 

%USERPROFILE%Local SettingsApplication DataGoogleChromeUser DataDefaultBookmarks

Win7/8/10:

%USERPROFILE%AppDataLocalGoogleChromeUser Data DefaultBookmarks

4)QQ浏览器

• %USERPROFILE%AppDataLocalTencentQQBrowserUser DataDefaultQQ号Bookmarks_01

• %USERPROFILE%AppDataLocalTencentQQBrowserUser DataDefaultBookmarks_01

3
cookies

1)Internet Explorer

IE8-9:

%USERPROFILE%AppDataRoamingMicrosoftWindowsCookies

IE10:

%USERPROFILE%AppDataRoamingMicrosoftWindowsCookies

IE11: 

%USERPROFILE%AppDataLocalMicrosoftWindowsINetCookies

Edge:

%USERPROFILE%AppDataLocalPackagesmicrosoft.

microsoftedge_<APPID>ACMicrosoftEdgeCookies

2)Firefox

XP:

%USERPROFILE%Application DataMozillaFirefoxProfiles<random

text>.defaultcookies.sqlite

Win7/8/10:

%USERPROFILE%AppDataRoamingMozillaFirefox

Profiles<randomtext>.defaultcookies.sqlite

3)Chrome

XP:

%USERPROFILE%Local SettingsApplication DataGoogleChromeUser

DataDefaultLocal Storage

Win7/8/10:

%USERPROFILE%AppDataLocalGoogleChromeUser Data

DefaultLocal Storage

4)QQ浏览器

%USERPROFILE%AppDataLocalTencentQQBrowserUser DataDefaultCookies

3
缓存

1)Internet Explorer

IE8-9:

%USERPROFILE%AppDataLocalMicrosoftWindowsTemporary Internet FilesContent.IE5

IE10:

%USERPROFILE%AppDataLocalMicrosoftWindowsTemporary Internet FilesContent.IE5

IE11:

%USERPROFILE%AppDataLocalMicrosoftWindowsINetCacheIE

Edge:

%USERPROFILE%AppDataLocalPackagesmicrosoft.microsoftedge_<APPID>ACMicrosoftEdgeCache 

2)Firefox

XP:

%USERPROFILE%Local SettingsApplicationDataMozillaFirefox Profiles<randomtext>.defaultCache

Win7/8/10:

%USERPROFILE%AppDataLocalMozillaFirefox Profiles<randomtext>.defaultCache

3)Chrome

XP:

%USERPROFILE%Local SettingsApplication DataGoogleChromeUser DataDefaultCache - data_# and f_######

Win7/8/10:

%USERPROFILE%AppDataLocalGoogleChromeUser Data DefaultCache - data_# and f_######

4
flash和超级cookies

Win7/8/10:

%APPDATA%RoamingMacromediaFlashPlayer#SharedObjects<randompr ofileid>

5
会话还原

1)Internet Explorer

Win7/8/10:

%USERPROFILE%/AppData/Local/Microsoft/Internet Explorer/ Recovery

2)Firefox

Win7/8/10:

%USERPROFILE%AppDataRoamingMozillaFirefoxProfiles<randomtext>.defaultsessionstore.js

3)Chrome

Win7/8/10:

%USERPROFILE%AppDataLocalGoogleChromeUser Data Default

文件=当前会话,当前打开的标签,最后一次会话,最后的标签

06

外部设备/USB使用

1
关键字认证

• SYSTEMCurrentControlSetEnumUSBSTOR

• SYSTEMCurrentControlSetEnumUSB

2
插入/拔出时间

1)即插即用日志文件(第一次)

XP:

C:Windowssetupapi.log

Win7/8/10:

C:Windowsinfsetupapi.dev.log

2)(第一次,最后一次,拔出)(在Win7/8/10) 

System Hive:  

CurrentControlSetEnumUSBSTORVen_Prod_VersionUSBSerial#Properties {83da6326-97a6-4088-9453-a19231573b29}####

0064 = 第一次安装(Win7-10)

0066 = 最后一次连接 (Win8-10)

0067 = 最后一次拔出 (Win8-10)

3
用户

• 查找GUID从SYSTEMMountedDevices

• NTUSER.DATSoftwareMicrosoftWindowsCurrentVersionExplorer MountPoints2

4
pnP 事件

Win7/8/10:

%system root%System32winevtlogsSystem.evtx

5
卷序列号

SOFTWAREMicrosoftWindowsNTCurrentVersion ENDMgmt

6
驱动器号和卷名

XP:

找到ParentIdPrefix – SYSTEMCurrentControlSetEnum USBSTOR

Win7/8/10:

• SOFTWAREMicrosoftWindows Portable DevicesDevices

• SYSTEMMountedDevices

7
文件快捷方式(LNK)

XP:

%USERPROFILE%Recent 

Win7/8/10:

• %USERPROFILE%AppDataRoamingMicrosoftWindows Recent 

• %USERPROFILE%AppDataRoamingMicrosoftOfficeRecent

07

账户使用情况

1
上次登录

• C:windowssystem32configSAM  

• SAMDomainsAccountUsers

2
上次密码修改

• C:windowssystem32configSAM

• SAMDomainsAccountUsers

3
远程桌面使用情况

Win7/8/10: 

%SYSTEM ROOT%System32winevtlogsSecurity.evtx

4
服务事件

所有事件ID对应的系统日志

7034  - 服务意外崩溃

7035  - 服务发送了启动/停止控制

7036  - 服务已启动或已停止

7040  - 启动类型已更改(Boot | On Request | Disabled)

7045  - 系统上安装了一项服务(Win2008R2 +)

4697  - 系统上安装了一项服务(来自安全日志)

5
登录类型

Win7/8/10:

Event ID 4624

6
授权事件

Win7/8/10:

%SYSTEM ROOT%System32winevtlogsSecurity.evtx

7
成功或失败登录

Win7/8/10:

%system root%System32winevtlogsSecurity.evtx

08

文件/文件夹打开

1
打开/保存 MRU

XP:

NTUSER.DATSoftwareMicrosoftWindowsCurrentVersionExplorerComDlg32 OpenSaveMRU

Win7/8/10:

NTUSER.DATSoftwareMicrosoftWindowsCurrentVersionExplorerComDlg32OpenSavePIDlMRU

2
最近文件

NTUSER.DAT:

NTUSER.DATSoftwareMicrosoftWindowsCurrentVersionExplorerRecentDocs

3
快速访问

Win7/8/10: 

C:%USERPROFILE%AppDataRoamingMicrosoftWindowsRecentAutomaticDestinations

4
shell bages

访问Explorer:

• USRCLASS.DATLocal SettingsSoftwareMicrosoftWindowsShellBags

• USRCLASS.DATLocal SettingsSoftwareMicrosoftWindowsShellBagMRU

访问桌面:

• NTUSER.DATSoftwareMicrosoftWindowsShellBagMRU

• NTUSER.DATSoftwareMicrosoftWindowsShellBags

5
文件快捷方式(LNK)

XP:

C:%USERPROFILE%Recent 

Win7/8/10:

C:%USERPROFILE%AppDataRoamingMicrosoftWindowsRecent

C:%USERPROFILE%AppDataRoamingMicrosoftOfficeRecent

6
prefetch

WinXP/7/8/10:

C:WindowsPrefetch

7
最后访问的MRU

XP:

NTUSER.DATSoftwareMicrosoftWindowsCurrentVersionExplorerComDl32 LastVisitedMRU

Win7/8/10:

NTUSER.DATSoftwareMicrosoftWindowsCurrentVersionExplorerComDlg32 LastVisitedPidlMRU

8
IE/Edge file://

Internet Explorer

IE6-7:  

%USERPROFILE%Local SettingsHistory History.IE5

IE8-9: 

%USERPROFILE%AppDataLocalMicrosoftWindowsHistoryHistory.IE5

IE10-11  

%USERPROFILE%AppDataLocalMicrosoftWindowsWebCacheWebCacheV*.dat

9
office最近使用文件

NTUSER.DATSoftwareMicrosoftOfficeVERSION

• 14.0 = Office 2010 

• 11.0 = Office 2003

• 12.0 = Office 2007 

• 10.0 = Office XP 

NTUSER.DATSoftwareMicrosoftOfficeVERSIONUserMRULiveID_####FileMRU

• 15.0 = Office 365

09

网络活动/物理位置

1
时区

SYSTEM Hive:

SYSTEMCurrentControlSetControlTimeZoneInformation

2
cookies

1)Internet Explorer

IE6-8: 

%USERPROFILE%AppDataRoamingMicrosoftWindowsCookies

IE10: 

%USERPROFILE%AppDataRoamingMicrosoftWindowsCookies

IE11: 

%USERPROFILE%AppDataLocalMicrosoftWindowsInetCookies

2)Firefox

XP:

%USERPROFILE%Application DataMozillaFirefoxProfiles<randomtext>.default cookies.sqlite

Win7/8/10:

%USERPROFILE%AppDataRoamingMozillaFirefoxProfiles<randomtext>.defaultcookies.sqlite

3)Chrome

XP:

%USERPROFILE%Local SettingsApplicationDataGoogleChromeUser DataDefault Local Storage

Win7/8/10:

%USERPROFILE%AppDataLocalGoogleChromeUser DataDefaultLocal Storage

3
网络历史

Win7/8/10 SOFTWARE HIVE:

• SOFTWAREMicrosoftWindows NTCurrentVersionNetworkListSignaturesUnmanaged

• SOFTWAREMicrosoftWindows NTCurrentVersionNetworkListSignaturesManaged

• SOFTWAREMicrosoftWindows NTCurrentVersionNetworkListNlaCache

4
无线局域网事件日志

Microsoft-Windows-WLAN-AutoConfig Operational.evtx

5
浏览器搜索记录

Internet Explorer

IE6-7:

%USERPROFILE%Local SettingsHistoryHistory.IE5

IE8-9:

%USERPROFILE%AppDataLocalMicrosoftWindowsHistoryHistory.IE5

IE10-11:

%USERPROFILE%AppDataLocalMicrosoftWindowsWebCacheWebCacheV*.dat Firefox

XP:

%userprofile%Application DataMozillaFirefoxProfiles<randomtext>.defaultplaces.sqlite

Win7/8/10:

%userprofile%AppDataRoamingMozillaFirefoxProfiles<randomtext>.defaultplaces.sqlite

6
系统资源利用率管理器(SRUM)(无线网络)

• SOFTWAREMicrosoftWindowsNTCurrentVersionSRUMExtensions

• {973F5D5C-1D90-4944-BE8E-24B94231A174} = Windows Network Data Usage Monitor

• {DD6636**-8929-4683-974E-22C046A43763} = Windows Network Connectivity Usage Monitor 

• SOFTWAREMicrosoftWlanSvcInterfaces C:WindowsSystem32SRU

以上文章来源于效率源公众号 ,作者源妹


文章来源: https://www.secpulse.com/archives/127088.html
如有侵权请联系:admin#unsafe.sh