很不幸，你在自己的电脑里发现了一个恶意的可执行程序！那么问题来了：这个文件到底有没有执行过?
在这篇文章中，我们会将注意力放在Windows操作系统的静态取证分析之上，并跟大家讨论一些能够帮助你回答上面那个问题的方法以及证据源，其中涉及到的四大主要的证据源包括Windows Prefetch、注册表、日志文件以及文件信息。
一、Windows Prefetch
Windows Prefetch（Windows 预读取）是一个查找文件执行证据的好地方。根据微软的设计方案，Windows Prefetch的功能就是允许那些经常需要使用到的程序打开得更加快。默认设置下，它会在预读取文件（存储路径为”C:\WindowsPrefetch”）中存储最近执行的128个文件的信息。一个预读取文件的命名规则为”可执行文件名+文件路径的哈希+后缀名.pf”，预读取文件中会保存文件的第一次和最后一次运行日期、文件路径和执行次数等信息。所以说，如果你的恶意软件文件名或路径哈希出现在了一个预读取文件（例如” DABEARS.EXE-12F3B52A.pf”）之中，那就说明这个恶意文件曾在你的电脑中执行过了。
注：Windows Server默认禁用了预读取功能。
二、注册表
没错，Windows注册表可是一个巨大的“宝藏”，注册表可以算是Windows系统能够正常运行的基石了。虽然注册表非常“庞大”，但是我们接下来给出的表单却并没有那么复杂。因为如果要确定一个文件是否执行过，我们只需要检查几个重要的注册表键即可：
1. ShimCache
微软使用了ShimCache或“AppCompatCache”来识别应用程序的兼容性问题。缓存数据能够追踪文件路径、大小、最后修改时间和最后一次运行的时间。如果一个文件以Windows进程的形式执行过，那么它的信息将会被记录到ShimCache中，但是ShimCache中记录的文件信息并不能100%证明一个文件执行过，因为它只能证明Windows曾与该文件交互过。下面这个注册表键中包含了ShimCache数据：
HKLMSYSTEMCurrentControlSetControlSessionManagerAppCompatibilityAppCompatCache(for XP)
HKLMSYSTEMCurrentControlSetControlSessionManagerAppCompatCacheAppCompatCache(for Non-XP)
更多关于ShimCache的内容，请参考Andrew Davis的【这篇文章】以及Mandiants的【会议报告】。
2. MUICache
当一个文件通过Windows Explorer（资源管理器）运行，程序Shell会在MUICache中创建一个入口。Windows使用MUICache来存储应用程序名以及其他相关信息，获取来的信息主要存储在下面的注册表键中：
HKCUSoftwareMicrosoftWindowsShellNoRoamMUICache(for XP, 2000, 2003)
HKCUSoftwareClassesLocal SettingsSoftwareMicrosoftWindowsShellMuiCache(for Vista, 7, 2008)
关于MUICache的更多内容，请参考windowsir的【这篇文章】。
3. UserAssist
UserAssist可以追踪可执行程序以及资源管理器中打开的链接，UserAssist键能够追踪文件的最后一次执行时间以及执行次数，并将信息存储在下面这个注册表键中：
HKCUSoftwareMicrosoftWindowsCurrentVersionExplorerUserAssist
UserAssist键的值对应了可执行程序的名称以及文件路径，并使用了ROT13加密。因此，如果你想直接通过搜索关键字来查找文件执行的证据的话，在不解码的情况下是无法做到的。目前也有很多工具可以解密这个注册表键，例如RegRipper userassist.pl插件【点我获取】。
三、日志文件
郑重声明：本文版权归原作者所有，转载文章仅为传播更多信息之目的，如作者信息标记有误，请第一时间联系我们修改或删除，多谢。
