TL;DR. 我在分诊时实际使用的优先顺序：Prefetch（启用时最强）、BAM/DAM（Win10+ 上每用户最后执行时间，被严重低估）、AmCache（SHA-1 识别）、ShimCache（存在性锚点）、UserAssist（仅由 Explorer 发起的启动）。单一工件无法结案。要么三角定位，要么别再声称执行。
没有任何一个 Windows 工件能完美回答"这个程序是否运行过、何时运行、由谁运行？"。告诉你不是这样的人，要么是案件办得不够多，要么是在卖东西。真正有效的，是一个简短的工件清单，每个工件覆盖问题的一部分，再加上交叉参照的习惯。
简表
| 工件 | 位置 | 记录内容 | 对执行的可靠性 |
|---|---|---|---|
| Prefetch | C:\Windows\Prefetch\*.pf | 路径、运行次数、最近 8 次运行时间、加载的文件 | 非常高。仅在进程启动时写入。 |
| AmCache | C:\Windows\AppCompat\Programs\Amcache.hve | 路径、SHA-1、大小、publisher、安装 + 首次运行 | 高。明确的执行时间戳。 |
| ShimCache | SYSTEM hive …\Session Manager\AppCompatCache | 路径、文件 mtime | 中等。证明存在；常（不总是）暗示执行。 |
| UserAssist | NTUSER.DAT …\UserAssist（registry） | 通过 Explorer 的每用户 GUI 程序启动 | 高，但仅限用户启动，名称使用 ROT13 编码。 |
| BAM / DAM | SYSTEM hive …\bam\State 和 …\dam\State | 每个二进制的每用户最后执行时间 | 非常高。Win10+，易于解析，常被漏掉。 |
按优先级阅读
1. 先看 Prefetch。 .pf 文件是 Windows 上最接近"它运行过"收据的东西。最多八次运行时间、总运行次数、加载模块列表。工作站 SKU 默认开启 Prefetch。Eric Zimmerman 的 PECmd 是公认的 parser。如果想自己造，Prefetch parser 介绍了格式。
2. 其次是 BAM / DAM。 Background and Desktop Activity Moderator 节流后台应用，并在 SYSTEM hive 中 …\Services\bam\State 和 …\Services\dam\State 下保存每用户、每二进制的"最后执行"时间戳。Windows 10 和 11 上存在，噪声低，易读。我曾凭原 IR 小组没人去拉的 BAM 行结案。
3. 第三是 AmCache。 在 Prefetch 经常被禁用的服务器上，以及在攻击者清空了 Prefetch 文件夹的主机上，是 Prefetch 的后盾。SHA-1 哈希是杀手锏：当文件被删除后，哈希是你接入 VirusTotal 和威胁情报的唯一抓手。见 ShimCache vs AmCache。
4. 第四是 ShimCache。 存在性锚点，而非执行声明。执行证明文章 介绍了背后的推理。
5. 最后是 UserAssist。 通过 Explorer 的交互式启动的强力证据。对从 shell、计划任务或服务发起的一切都视而不见。当问题是"用户是否点击了这个？"时有用。用任何能处理 ROT13 的注册表工具读取；registry parser 会就地解码。
容易绊脚之处
- Prefetch 可能被关闭。 SSD、服务器 SKU 和组策略都会禁用它。空 Prefetch 不是缺席的证据。
- AmCache 会轮换。 旧条目会被淘汰。在分诊早期就把 hive 取出来。
- ShimCache 时间戳是文件的 mtime。 不是执行时间。不是刷新时间。就是文件的 mtime。读到记牢为止。
- UserAssist 是 ROT13。 解码很容易但会绊倒粗心的读者。
- BAM 被低估。 也许是现代 Windows 上"该二进制是否为该用户运行过？"最干净的信号。
根据案件还值得了解的其他工件：RecentFileCache（Win7 遗留），SRUM 用于 30 天内的网络与进程资源使用，跳转列表 和 LNK 文件 用于 shell 活动，MFT 和 USN journal 用于文件系统级别的时间线。
工具链
进行高保真离线解析时，Eric Zimmerman 工具套件 是事实标准。AppCompatCacheParser、AmcacheParser、PECmd、RBCmd 都很可靠。Velociraptor 处理舰队规模的活体分诊。专门针对 ShimCache，Shimcache Parser 可在浏览器中直接读取 hive，无需安装任何东西。
延伸阅读
- Eric Zimmerman 的 AppCompatCacheParser：参考 ShimCache parser。
- Velociraptor ShimCache 工件：在运行系统上的采集逻辑。
- Mehrnoush 的 ShimCache & AmCache forensic analysis：以案例驱动的扩展讲解。