Shimcache 与 Windows 取证博客

AppCompatCache 的二进制布局几乎每个 Windows 版本都会改一次。本文是较旧格式（XP、Server 2003、Vista/2008、Windows 7 和 8）以及用于识别它们的 magic 值的按版本参考。

会，而这正是它的意义所在。ShimCache 经常保留那些在磁盘上已不存在的可执行文件的条目。本文讲清楚为什么、它们能存活多久，以及如何把被删除文件的条目当作证据来用。

远程执行工具在源主机和目标主机上都会留下可识别的 ShimCache 足迹。这是一份用 AppCompatCache 重建 Windows 资产范围内横向移动的实用指南。

ShimCache 条目中的时间戳是文件的最后修改时间，而不是程序运行的时间。这里说清楚该值究竟是什么、它为何会误导调查人员，以及如何正确地使用它。

Prefetch 记录执行；ShimCache 记录的是 Windows 检查过一个文件。它们回答的是不同问题、可靠性也不同。一份面向调查人员的实用对决。

ShimCache 可以被篡改，但很难干净地完成。本文整理了攻击者尝试擦除或修改 shimcache 条目的方式，以及调查人员可以借以发现的取证线索。

由于 Windows ShimCache 只在关机时才刷新到注册表，内存转储常常保留着磁盘上 hive 没有的条目。本指南介绍用 Volatility 和 Velociraptor 进行提取。

把 ShimCache、AmCache、Prefetch 和 SYSTEM hive 的 BAM 数据融合在一起的时间线，是大多数 Windows IR 报告的脊梁。本指南从头到尾走一遍它的搭建过程。

在威胁狩猎与事件响应中使用 Windows ShimCache 浮现可疑二进制的实用工作流：找什么、如何分诊命中、如何佐证。

勒索软件攻击者常规地删除工具、加密并擦除，并重启以掩盖痕迹。ShimCache 是在这之后仍能回答基本问题的少数几个工件之一。这里讲讲怎么用它。

从死盘、活体系统或内存映像中提取 Windows SYSTEM 注册表 hive（以及它的事务日志）以进行离线取证分析的实用指南。

在离线 ShimCache 解析上占主导的四个开源工具，各有不同的强项。一份为你按工作流挑出合适那一个的实用比较。

对证明程序执行最有用的五个 Windows 工件（Prefetch、AmCache、ShimCache、UserAssist、BAM/DAM）的并排参考，以及它们的可靠性与局限。

ShimCache 条目常被误认为是某个二进制运行过的证据。事实更微妙：这里讲清楚缓存到底记录了什么，以及如何正确地确认执行。

ShimCache 和 AmCache 都在 Windows 上呈现程序执行的证据，但它们记录不同的内容、在不同的时机、有不同的可靠性。一份面向取证调查人员的实用比较。

Windows ShimCache 只存在于一个注册表 value 中，但仅在关机时被持久化。理解它的存储路径和写入时机会改变调查人员处理易失证据的方式。

对 Windows 10 和 11 的 AppCompatCache 二进制布局的实用走查：头部字节、每条条目的 magic、路径编码，以及 parser 必须处理正确的偏移量。

Windows ShimCache 的实用入门：它存放在哪里、记录什么内容，以及取证调查人员如何用它证明程序的存在。