罗文华 龙立名

（中国刑事警察学院网络犯罪侦查系 辽宁 沈阳 110035）

1 引言

Windows操作系统通过Prefetch文件夹实现“程序预读”功能，以提升可执行程序的运行速度。Prefetch文件夹的电子数据取证特性在于基于其中扩展名为PF的文件，揭示可执行程序运行情形，挖掘出程序名称、存储位置、最近一次运行时间、运行次数、动态链接库等[1]。国内已有的讨论Prefetch文件夹取证特性的文献均未涉及PF文件结构格式，挖掘深度也不深入。同时，随着Windows操作系统的升级，PF文件的格式也不断变化。如图1所示的WinPrefetchView工具，其在Windows 7（含）之前的版本下能够较为完整地还原程序运行状况，但在Windows 10环境中却无法分析出Process Path、Run Counter、Last Run Time，能够显示出的Created Time、Modified Time、File Size基于文件属性获得，并不涉及文件的内部结构。

图1 WinPrefetchView在Windows 10环境下的运行结果

Python是当下非常流行的主流编程语言，拥有用户友好的语法和大量第三方模块，由此提供了一个较好的取证支撑平台。比较不同版本Windows操作系统环境下PF文件格式的异同，基于Python强大的函数功能，完成典型的Windows 7和Windows 10环境下可执行文件操作痕迹的智能取证分析，实现有别于现有工具的取证深度。

2 PF文件结构特征分析

Windows XP、Windows 2003、Windows Vista、Windows 7、Windows 8、Windows 10等操作系统中均存在PF文件，本文所讨论的智能工具重点针对目前国内使用广泛的Windows 7与Windows 10进行解析。

2.1 Windows 7中的PF文件[2]

Windows 7中的PF文件通常由文件头部、节块（Section）入口表和具体的节块组成，节块可以有多个，每个节块包含着以little-endian方式存储的特定类型信息。PF文件头长度为84字节，各部分具体含义如表1所示。其中，对于“版本号”域，“0x11”表示Windows XP和2003，“0x17”对应Windows Vista和7，“0x1a”标识Windows 8，“0x1e”则说明是Windows 10；……