详解Windows注册表分析取证

在平易近事或政策违规查询拜访中，证据可能会在各类图形文件扩大名中找到(例如.jpg，.gif或.png)。

TypedURLs键

当用户在Internet Explorer中输入URL时，该值将被存储在以下注册表中：

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\TypedURLs

当打开该键时，它会为我们列出用户应用IE拜访的最后URL浏览记录。在这些记录中或许我们可以找到恶意软件的来源，或在平易近事或政策违规类的查询拜访中，获知用户正在看的内容是什么。

TypedURLs键

键值将大年夜urI1(比来的)~ urI25(之前的)。

IP地址

注册表还跟踪用户接口的IP地址。请留意接口可能有多个，该注册表项将跟踪每个接口的IP地址及相干信息。

HKEY_LOCAL_MACHINE\System\Services\CurrentControlSet\services\Tcpip\Parameters\Interfaces

如下所示，我们可以找到分派给接口的IP地址，子网掩码以及DHCP办事器租用IP的时光。如许，我们就可以断定嫌疑人在入侵或犯法时是否应用了某个特定的IP。

IP地址

启动项在注册表中的地位

作为一名取证人员，我们经常须要找到哪些应用法度榜样或办事会在体系启动时被启动。因为进击者很可能会经由过程这种方法来启动他们在目标机械上栽种的木马法度榜样，以与长途办事器建立连接。我们可以在以下地位找到该启动项：

如上图所示，当我们点击USB存储标识符时，它会在右侧窗口中显示全局独一标识符(GUID)，FriendlyName和硬件ID等。

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

这些子项中指定的任何软件/地位都将在每次体系启动时启动。Rootkit和其它恶意软件平日会被放置在这里。

运行16位应用法度榜样时，列出的法度榜样运行在：

RunOnce启动

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Profiles

如不雅进击者只是欲望软件在启动时运行一次，则可以在此处设置子键。

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce

RecentDocs键

启动办事

下面的键列出了体系启动时将会启动的所有办事。如不雅键值设置为2，办事将主动启动;如不雅设置为3，则必须手动启动办事;如不雅设置为4，则该办事被禁用。

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services

启动遗留应用法度榜样

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\WOW

特定用户登录时启动

如不雅你想查看竽暌姑户比来应用的Word文档，那么我们可以在.doc或.docx扩大名下进行查找，这取决于它们创建的Word文档的版本(每个键可以容纳比来10个文档)。例如我们点击.docx扩大的键，可以看到这里为我们列出了比来应用过的10个文档。

在以下键中，键值将在特定用户登录时运行。

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

注册表中的存储设备证据

进击者经常会应用Flash驱动器或硬盘驱动器进行恶意进击，然后将其移除，以避免留下任何的证据。然而经验丰富的取证人员，仍然可以在注册表中找到这些存储设备的证据。

不合版本的Windows体系，注册表可能也有所不合。一名专业的取证人员，须要懂得不合版本间的差别。因为Windows 7今朝仍然是应用最广泛的操作体系，所以这里我将以Windows 7为例。

USB存储设备

想象一下在某些场景中，进击者可能在你的电脑插入了一个USB设备，并拷贝走了你大年夜量重要的数据文件。这时我们就可以经由过程以下键值，来查找USB存储设备插入和应用的证据。

HK_Local_Machine\System\ControlSet00x\Enum\USBSTOR

展开USBSTOR可以查看到，所有曾经连接过该体系的USB存储设备列表。

在膳绫擎的截图中，我圈出了一个可疑的USB设备。当我们展开它时，它会显示该设备的独一标识符。经由过程点击此标识符，我们可以找到有关设备的更多信息。

　　推荐阅读

　　HTML5音频API Web Audio

此文介绍HTML5音频API的重要框架和工作流程，因为音频处理模块很多，是以只简单介绍几种音频处理模块，并经由过程例子来展示效不雅。后续会介绍应用HTML5音频API实现的项目，迎接大年夜家>>>详细阅读

地址：http://www.17bianji.com/lsqh/36632.html