u盘中文件使用记录吗? (u盘子有使用记录吗?


作为**单位,每次**检查USB检查是重点,但现在互联网上到处都是清洁工具,专业的检查工具不一定很容易使用,为检查人员提供一些有用的工具。今天,我将为您贡献我的观点。下一步,做一个专业的工具分享。本文只代表个人观点,有意见可以随时拍我。

USB是外部总线标准, 用于计算机与外部设备的连接和通信。典型的USB该设备主要包括U盘、移动硬盘、数码相机、扫描仪、图像设备、打印机、键盘和鼠标。

目前大家都在用UsbViewer提取工具USB设备信息, 主要包括设备名称、设备类型、设备序列号、首次挂载时间、最新挂载时间等。该工具完全依靠注册表收集信息。 删除相关注册表项(如UsbViewer即自带“ 清除痕迹” 功能)什么都找不到。事实上,操作系统的整体环境分析USB设备使用痕迹的手段仍然很多

Windows环境下调查USB使用痕迹

1.1 基于登记表的调查USB设备使用痕迹

注册表是USB设备使用痕迹的主要和最重要的来源。

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSetXXX(CurrentControSetXXX)\\Enum\\USB  HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSetXXX(CurrentControSetXXX)\\Enum\\USBSTOR  HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSetXXX(CurrentControSetXXX)\\Control\\DeviceClasses\\{53f56307-b6bf-11d0-94f2-00a0c91efb8b}  HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSetXXX(CurrentControSetXXX)\\Control\\DeviceClasses\\{a5dcbf10-6530-11d2-901f-00c04fb951ed} 

其中 ControlSetXXX 和 CurrentControlSetXXX 注册表中的相似之处 ControlSet001、ControlSet002、CurrentControlSet 这样的子键(CurrentControlSet 一般只有一个子键,可能有特殊情况 CurrentControlSet001 等多个,一样 ControlSet 一般只有 ControlSet001 和 ControlSet002 特殊情况下可能有多个这两个),CurrentControlSet 保存系统当前的配置信息,而 ControlSet001 等等是当前配置信息的备份,一般注册表会有两个以上的备份,有时可能会有更多。在 ControlSetXXX 中的信息和 CurrentControlSet 信息一般是一样的,所以在检测和删除中 USB 存储设备信息时,不仅要检测 CurrentControlSet 还需要检测子键 ControlSetXXX 子键。Enum\\下的USB表键使用VID_v(4)& PID_d(4)格式描述USB设备。Enum\\下的USB表键使用VID_v(4)& PID_d(4)格式描述USB设备 v(4)代表4个数字的卖家代码(由 USB协会分配给卖方); d(4)代表4个数字的产品代码(由卖方分配的产品)。USBSTOR表键则使用Disk& Ven_iManufacturer& Prod_iProduct& Rev_r(4)描述格式。iManufacturer表示制造商, iProduct表示设备类型, r(4)是修正码。UsbViewer工具即基于USBSTOR表键提取信息, 因此,获得的序列号通常不完全准确。值得一提的是, 如USB有序列号信息不包含在设备中, Windows设备将通过系统自动生成的字符串进行识别。 USB表键和USBSTOR表键不包含挂载时间信息, 事实上,这里的时间信息是以属性的形式存储的。以序列号的名义选择子键, 单击右键选择单击右键选择 导出” , 并将“ 保存类型” 选为“ 文本文件” , 打开保存的文本文件以获取时间信息。还需要指出的是, USBSTOR表键下有一个名字ParentIdPrefix键值, 关联键值数据MountedDevices可以指示表键USB设备的盘符信息。MountedDevices表键下的信息只存储上次挂载的信息ParentIdPrefix键值信息, 无法追溯盘符分配的历史记录。Windows 注册表不再包含在7中ParentIdPrefix键值, 但通过设备序列号和设备序列号MountedDevices表键关联, 确定盘符。Windows 7.10中最新设置的UMB表键为追踪USB该设备为[2]提供了更大的便利。涵盖表项USB和USBSTOR表键的重要信息, 同时指示出USB设备分配的盘符, 弥补了MountedDevices表键不足。对于 Control\\DeviceClasses 就子键而言,存储是为了 GUID 设备信息的分类,其中几个是和谐 USB 设备相关(它们在微软 USB 存储设备输入输出控制头文件 USBIODEF.H 和NTDDSTOR.H 中定义,对自己感兴趣MSDN上去看):

{A5DCBF10-6530-11D2-901F-00C04FB951ED} GUID_DEVINTERFACE_USB_DEVICE  {3ABF6F2D-71C4-462A-8A92-1E6861E6AF27} GUID_DEVINTERFACE_USB_HOST_CONTROLLER  {F18A0E88-C30C-11D0-8815-00A0C906BED8} GUID_DEVINTERFACE_USB_HUB  {53F56307-B6BF-11D0-94F2-00A0C91EFB8B} GUID_DEVINTERFACE_DISK  

1.2 基于系统文件调查USB设备使用痕迹

Windows 7.10系统分区下\\Windows\\inf\\Setupapi.dev.log文件(Windows XP环境下则为\\Windows \\set upapi.log)包括相关设备更换、驱动程序更改和重要系统修改。本文件记载了制造商、设备类型、设备序列号、首次挂载时间等详细信息USB设备信息。本文件记载了制造商、设备类型、设备序列号、首次挂载时间等详细信息USB设备信息。基于本文件的分析通常可以获得与注册表相同的效果

Windows 7.10事件日志增加了对USB设备审核。查询日志也可以知道。日志检索是检查最有效的手段。

为方便计算机用户快速查找最近使用的文件, Windows设置了操作系统Recent文件夹, 文件夹默认存储路径\\Users\\UserName\\AppData\\Roaming\\Microsoft\\Windows\\Recent(Windows XP下则为\\Docu ments and Settings\\UserName\\Recent)。Recent文件夹具有隐藏属性, 只在文件夹选项中取消 隐藏受保护的操作系统文件 后, 能正常检查Recent文件夹。Recent文件夹具有隐藏属性, 只在文件夹选项中取消 隐藏受保护的操作系统文件 后, 能正常检查Recent文件夹。Recent存储在文件夹下的文件实际上是文件(或文件夹和应用程序)的快捷方式, 其扩展名为lnk。这类快速文件包含目标文件属性和用户操作信息, 这些信息会随着用户行为的变化而改变。利用WFA(Windows File Analyzer)嵌入快速文件中的目标文件信息由工具分析, 主要包括目标文件路径、创建时间、修改时间、访问时间等。

另外, Windows 7后,为了实现跳转列表功能,设置了扩展名称automaticDestinations-ms的文件(\\Users\\%username%\\AppData\\Roaming\\Microsoft\\Windows\\Recent\\Automatic Destinations文件夹), 这类文件也可以用来分析Recent文件夹下快速文件类似的痕迹信息。

IconCache.db是Windows用于缓存图标文件的操作系统, 在Windows 该文件位于7系统中C:\\Users\\Username\\AppData\\Local\\文件夹(在Windows XP该文件存储在系统中C:\\Document and Settings\\Username\\ Local Settings\\Application Data下)。IconCache.db是隐藏文件, 所有文件和文件夹都需要在文件夹选项中显示才能正常查看。IconCache.db是隐藏文件, 所有文件和文件夹都需要在文件夹选项中显示才能正常查看。Windows使用操作系统Icon Cache.db文件缓存图标信息, 在特定文件夹下快速显示文件图标, 减轻系统重新分析造成的负担。

用户使用Windows在系统过程中, 系统会逐渐向IconCache.db添加文件图标、文件存储路径等信息。当用户把USB存储设备连接到计算机系统后, 如果USB存储设备的根目录包含可执行程序, 不管它是否工作, 文件名称、图标、存储位置USB设备盘符等信息会自动添加到IconCache.db数据库中。此外, 如果用户浏览的文件包含可执行程序, 相应的信息也会自动添加。基于IconCache.db文件分析USB设备使用痕迹的局限性是相应文件夹下的可执行程序, 并且只能分析盘符信息。

当然,结合数据恢复技术,这些操作基本上很难隐藏痕迹。