analyzing-prefetch-files-for-execution-history - 解析 Windows Prefetch 文件获取程序执行历史
解析 Windows Prefetch 文件以提取运行次数、时间戳及关联文件等程序执行历史。
标签
更新于: 2026-09-24能力
典型输入
典型输出
该技能可以做什么
- 从取证镜像提取 Prefetch 文件
- 使用 PECmd 解析 Prefetch 文件
- 使用 Python 解析 Prefetch 文件
- 识别可疑程序执行证据
- 构建应用执行时间线
输入
- Windows Prefetch 文件
- 数字取证镜像
输出
- Prefetch 解析报告 CSV 与 JSON 文件
- 程序执行时间线 CSV 文件
- 文件完整性哈希校验文件
要求
- Windows Prefetch 文件访问权限
- PECmd 工具
- Python 3 环境