Windows10中Prefetch文件的变化及对取证分析的影响

• 作者: 张俊 朱勇宇
• 来源期刊: 警察技术
• 关键词: Prefetch 文件结构 Windows10取证
• 年，卷（期）: 2021,（5）
• 所属期刊栏目: 电子取证
• 页码范围: 67-70
• 页数: 4页
• 语种: 中文
• DOI: 10.3969/j.issn.1009-9875.2021.05.016

摘要

预读取,是Windows用来提高操作系统和应用程序启动性能的一项重要机制.Windows通过Prefetch文件在系统和应用程序启动前将所需的文件提前缓存到内存中,从而实现这一机制,因此Prefetch文件中记录了大量有关应用程序运行的痕迹,这些痕迹便是宝贵的电子数据证据.相较于其它版本的Prefetch文件,Windows10中Prefetch文件的结构和功能发生了较大的变化,但是其相关的研究和解析工作相对较少.主要针对Windows10中Prefetch文件的结构和功能进行分析,并进一步阐述Prefetch文件在电子数据取证中的重要作用.