prefetch-hash-cracker

预取哈希破解器 动机 在对 Windows 机器进行取证分析时，你可能会找到已删除的预取文件的名称。虽然其内容可能无法恢复，但文件名本身通常足以找到创建该预取文件的可执行文件的完整路径。 使用该工具 必须提供以下字段： 可执行文件名称 包括扩展名。该名称将嵌入预取文件名中，除非出现以下情况。 预取哈希 预取文件名末尾的 8 位十六进制数字，紧接在 .pf 扩展名之前。 哈希函数 Bodyfile 挂载点 哈希函数 已知有 3 种预取哈希函数： SCCA XP 用于 Windows XP SCCA Vista 用于 Windows Vista 和 Windows 10 SCCA 2008 ...

prefetch-hash-cracker

Prefetch Hash Cracker Motivation During the forensic analysis of a Windows machine, you may find the name of a deleted prefetch file. While its content may not be recoverable, the filename itself is often enough to find the full path of the executable for which the prefetch file was created. Usin...