21、探索Windows法医工件分析方法

探索Windows法医工件分析方法

1. 引言

在PC市场中，Windows长期占据主导地位，约47%访问政府网站的用户使用Windows系统，而第二受欢迎的macOS仅占8.5%。未来的调查很可能继续需要对Windows工件进行分析。本文将介绍如何使用Python，借助各种第一方和第三方库，直接从法医证据容器中解释和处理多种类型的Windows工件。

1.1 涵盖内容

• 回收站文件分析 ：解读$I文件以了解发送到回收站的文件信息。
• 便签文件分析 ：读取Windows 7系统上便签的内容和元数据。
• 注册表信息提取 ：从注册表中提取操作系统版本和其他配置详细信息。
• 用户活动揭示 ：揭示与搜索、输入路径和运行命令相关的用户活动。
• LNK文件解析 ：解析LNK文件以了解历史和最近的文件访问情况。
• 索引文件检查 ：检查Windows.edb以获取有关索引文件、文件夹和消息的信息。

2. 回收站文件分析

2.1 概述

对回收站中删除文件的法医检查是大多数调查中的重要步骤。普通用户可能不知道发送到回收站的文件仍然存在，并且我们可以从中了解到原始文件的许多信息，如原始文件路径和发送到回收站的时间。本部分重点关注Windows 7版本回收站的$I和$R文件。