ShimCache 与 Amcache
Prefetch 有一个致命弱点：它是可选的。被显式关闭、被清理、或只记录路径哈希，都会让执行证据链断掉。
知识节点
执行痕迹
在 计算机取证 中继续浏览相关技术、方法与案例。
关联资源
围绕“执行痕迹”继续查找可练习的题目与可用检材。
节点文档
当前节点及其下级节点已经公开的知识内容。
阅读
LNK 快捷方式与 Jump List 跳转列表
.lnk 是 Windows 快捷方式文件，取证价值却远高于它的文件体积。一个通常只有 1–2 KB 的二进制文件，往往同时记录了目标文件的三个时间戳、目标所在卷的序列号、目标绝对路径、源机器的 NetBIOS 名，甚至源机器网卡的 MAC 地址。
UsnJrnl 与文件操作时间线
NTFS 上有一个绝大多数用户不知道、却对取证极其重要的元数据文件：$UsnJrnl。它是 NTFS 的变更日志，默默记录该卷上每一次文件创建、删除、重命名、写入、加解密操作——并且在文件被删除、目录被清空之后，记录依然保留。
Prefetch 深度解析
Windows 取证里最容易被误读的执行证据，就是 Prefetch。