数字取证:分析Windows预取文件以获取证据

tuto
tuto

杂杂咱谈

2026年11月1日 23:34
福建

去阅读

预取文件(Prefetch files)可以显示在Windows计算机上曾运行过哪些应用程序，以及这些程序是在何时运行的。

微软开发\"预取\"(Prefetch)功能并非为了取证分析，而是为了提升Windows系统的运行速度。预取机制会预先加载系统预计用户接下来可能需要的文件，从而加快后续的读取速度。该功能自Windows XP和Windows Server 2003版本起便已引入，并一直作为默认功能保留至Windows 11。在Windows Server 2003、2008和2012系统中，应用程序预取功能需要在注册表中手动开启。

每个预取文件都包含有关应用程序的元数据，例如:最后运行时间、文件存储位置、运行次数以及曾访问过的文件。即便程序本身已被删除，这些信息依然存在。例如，通过浏览器或Word的预取文件，即便可执行文件已不复存在，仍能证明该应用程序曾被使用过。

预取文件的存储位置

预取文件存储在C:\Windows\Prefetch目录下。在Windows 10系统中，该目录的内容如下所示。

以\".pf\"结尾的文件是预取文件，而以\".db\"结尾的文件则是数据库文件。这些文件可以留待稍后处理。\"修改日期\"这一列通常显示的是该应用程序最后一次运行的时间。

如果DEVICEPAIRINGWIZARD.EXE-\*.pf(蓝牙配对向导)文件的最后修改日期是2026年10月3日，而嫌疑人声称从未用过蓝牙，也不知如何使用，那么该文件就构成了矛盾证据。当然，这并不一定意味着对方在撒谎，因为也有可能是其他人使用了这台计算机。

分析Windows预取文件

虽然仅通过查看预取文件就能获取一些基本信息，但若要提取其中包含的所有数据，则需要对文件进行解析。目前有许多程序可以解析这些文件，且效果都不错；其中，Nirsoft提供的免费工具WinPrefetchView最为易用，它拥有直观友好的图形用户界面。此外，EnCase、FTK等大多数取证套件也都具备解析预取文件的功能。

只需下载并安装该软件，然后运行即可。它会自动获取所有预取文件并进行解析，呈现方式如下所示。

我们选择了Autopsy。上方窗格显示了可执行文件的路径、运行次数以及最后一次运行的时间。下方窗格则列出了该程序所使用的所有文件，并给出了每个文件的路径。

如果我们点击\"最后运行时间\"标签按时间进行排序，就能重现该系统上所发生事件的时间线。

禁用预取

如果嫌疑人具备相当的数字技术能力，他们可能会选择禁用\"预取\"功能。此外，他们还可以禁用或停止\"Superfetch\"功能——该功能自Windows Vista起引入，其工作原理与\"预取\"类似，区别在于它会根据用户的使用习惯预先加载应用程序。若要禁用或停止该功能，请进入\"计算机管理\"，在左侧选择\"服务\"，然后双击\"Superfetch\"并根据需要进行相应设置。在Windows 10/11系统中，该功能被称为SysMain。

总结

在取证调查中，预取文件可用于证明嫌疑人确实使用过相关应用程序——即便该程序已被从系统中移除。