090_数字取证高级技术：Windows注册表取证与用户行为分析实战指南——从键值提取到时间线构建的深度调查方法

HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Recent

HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU
HKCU\Software\Microsoft\Windows\CurrentVersion\Applets\Regedit\LastKey

HKCU\Software\Microsoft\Internet Explorer\TypedURLs
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\TypedPaths

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run

HKLM\SYSTEM\CurrentControlSet\Services

HKLM\SYSTEM\CurrentControlSet\Enum

HKLM\SYSTEM\CurrentControlSet\Services\EventLog

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\WinLock

# Windows安装
从官方网站下载最新版RegRipper
解压到任意目录

# Linux/macOS使用Wine
wine regripper.exe

# 对单个注册表配置单元使用插件
rip -r SYSTEM -p svcscan > services.txt

# 对配置单元运行所有相关插件
rip -r NTUSER.DAT -a > user_analysis.txt

# 使用时间线插件
rip -r SYSTEM -p timeliner > system_timeline.txt

# 命令行使用
RegistryExplorer.Cmd.exe -r C:\path\to\SYSTEM -o output.json

# 基本使用流程
1. 拍摄基准快照
2. 执行可疑活动
3. 拍摄对比快照
4. 生成差异报告

# 创建扫描配置
# 执行扫描
# 分析结果

# 导入注册表时间线数据
# 与其他数据源合并
# 可视化分析

# 使用reg命令导出注册表
takeown /f C:\Windows\System32\config\*
icalcs C:\Windows\System32\config\* /grant administrators:F

# 导出关键配置单元
reg save HKLM\SYSTEM C:\evidence\SYSTEM.hiv
reg save HKLM\SOFTWARE C:\evidence\SOFTWARE.hiv
reg save HKCU C:\evidence\NTUSER.DAT

# 使用FTK Imager挂载镜像
# 复制注册表文件
cp /mnt/windows/System32/config/SYSTEM /mnt/evidence/
cp /mnt/windows/System32/config/SOFTWARE /mnt/evidence/
cp /mnt/windows/Users/*/NTUSER.DAT /mnt/evidence/

# 提取用户活动信息
rip -r NTUSER.DAT -p userassist > userassist.txt
rip -r NTUSER.DAT -p recentdocs > recentdocs.txt
rip -r NTUSER.DAT -p typedurls > typedurls.txt
rip -r NTUSER.DAT -p wordwheelquery > search_history.txt

import re
import datetime

# 解析UserAssist输出
with open('userassist.txt', 'r') as f:
    content = f.read()

# 提取执行次数和时间戳
entries = re.findall(r'Name: (.*?)\s+Count: (\d+)\s+Focus Count: (\d+)\s+Time: (\d+)', content)

# 转换Windows时间戳
def windows_time_to_datetime(windows_time):
    # Windows时间戳是从1601年1月1日开始的100纳秒间隔数
    seconds_since_1601 = int(windows_time) / 10000000
    dt = datetime.datetime(1601, 1, 1) + datetime.timedelta(seconds=seconds_since_1601)
    return dt

# 格式化输出
for entry in entries:
    name, count, focus_count, windows_time = entry
    dt = windows_time_to_datetime(windows_time)
    print(f"应用: {name}\n执行次数: {count}\n聚焦次数: {focus_count}\n最后执行时间: {dt}\n")

# 使用RegRipper分析启动项
rip -r SYSTEM -p autoruns > autoruns.txt
rip -r NTUSER.DAT -p run > user_run.txt

# 分析系统服务
rip -r SYSTEM -p svcscan > services.txt

rip -r SYSTEM -p shimcache > shimcache.txt

# 使用RegRipper提取时间线数据
rip -r SYSTEM -p timeliner > system_timeline.txt
rip -r SOFTWARE -p timeliner > software_timeline.txt
rip -r NTUSER.DAT -p timeliner > user_timeline.txt

# 合并时间线数据
cat system_timeline.txt software_timeline.txt user_timeline.txt > combined_timeline.txt

# 使用log2timeline格式转换
python convert_to_plaso.py combined_timeline.txt > timeline.plaso

# 检查可疑的远程访问服务
rip -r SYSTEM -p svcscan | grep -i remote

# 分析异常的WMI事件订阅
rip -r SYSTEM -p wmi > wmi_events.txt

# 检查可疑的COM对象
rip -r SOFTWARE -p comobj > com_objects.txt

# 列出卷影副本
vssadmin list shadows

# 挂载卷影副本
mklink /d C:\vssshadow \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1

# 复制历史注册表文件
cp C:\vssshadow\Windows\System32\config\SYSTEM C:\evidence\SYSTEM_historical

import Registry
import datetime

def analyze_registry_timestamps(registry_file):
    reg = Registry.Registry(registry_file)
    root = reg.root()
    
    def process_key(key, depth=0):
        # 获取时间戳
        last_write_time = key.timestamp()
        dt = datetime.datetime.fromtimestamp(last_write_time)
        
        # 打印键信息
        print(' ' * depth + f"{key.path()} - {dt}")
        
        # 递归处理子键
        for subkey in key.subkeys():
            process_key(subkey, depth + 2)
    
    process_key(root)

# 分析注册表时间戳
analyze_registry_timestamps("SYSTEM")

# 使用Volatility提取注册表
volatility -f memory.dmp --profile=Win10x64 hivelist > hives.txt
volatility -f memory.dmp --profile=Win10x64 dumpregistry -o 0xffff880036c68000 -D output/

# 使用mimikatz提取加密凭据
mimikatz.exe "privilege::debug" "sekurlsa::logonpasswords" exit > credentials.txt

# 使用PowerShell远程收集注册表数据
Invoke-Command -ComputerName Server01,Server02 -ScriptBlock {
    reg export HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run C:\temp\run_keys.reg
    Get-Item C:\temp\run_keys.reg
}