Shellbag사용자가 Windows 탐색기(explorer)에서 열어본 폴더의 정보를 저장하는 레지스트리 키 집합이다.Windows 탐색기 (Explorer GUI)에서 접근한 폴더만 기록됨. => 즉, CMD, Powershell, Bash/WSL에서 접근한 경로는 기록하지 않는다. 사용자가 새로운 폴더를 탐색하면 해당 폴더에 대한 ShellBag 항목이 생성되며, 이를 통해 사용자가 과거에 어떤 디렉터리를 탐색했는지 확인할 수 있다. 삭제된 폴더의 ShellBag 항목도 자동으로 삭제되지 않으며, 이후 동일한 이름이나 경로의 폴더가 생성되면 기존 항목이 갱신될 수 있다. ShellBag에는 다음과 같은 폴더 정보가 저장된다.폴더 창의 크기폴더 창의 위치폴더 보기 설정최초 상호작용 시각마지막 ..
포렌식
2026. 7. 16. 02:05
[윈도우 분석] - SrumECmd 사용해보기
SRUM (System Resource Usage Monitor)Windows 8 및 Windows Server 2019에서 도입되었고 시스템 리소스 관리를 위해 만들어진 기능이다.CPU 사용량, 네트워크 활동, 배터리 사용량 등 다양한 시스템 리소스의 사용 현황을 추적하도록 설계되었다.저장하는 정보는 다음과 같다.시스템에서 실행된 모든 응용 프로그램의 이름응용 프로그램 경로해당 프로그램을 실행한 사용자의 SID(Security Identifier)연결했던 네트워크(SSID) 이름포그라운드 및 백그라운드 프로세스의 CPU 사용량응용 프로그램별 하드디스크 읽기 및 쓰기 바이트 수프로그램이 이후 삭제되더라도 정보는 남아있을 수 있다. SRUM의 타임스탬프는 응용 프로그램이 정확히 실행된 시각을 의미하지 않는..
포렌식
2026. 7. 14. 00:14
[윈도우 분석] - JLECmd, JumpList Explorer 써보기 (JumpList)
Link File(.lnk)Link File(.lnk)는 바로가기(Shortcut) 파일이다.연결된 파일이 생성되거나 사용되는 과정에서 함께 생성될 수 있으며, Windows는 이 파일에 저장된 메타데이터(metadata) 를 다양한 기능에서 활용한다.Link File에는 대상 파일의 다음 시간 정보가 저장된다.생성시간 : 대상 파일이 처음 생성된 시점수정시간 : 대상 파일이 마지막으로 열린 시점접근시간Link File에는 다음과 같은 메타 데이터도 포함된다.대상 파일 경로파일 크기파일 속성원본 시스템 이름원본 볼륨 정보 저장 위치%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Recent JumpListJump List는 여러 개의 Link File(.lnk)를 관..
다운로드는 여기서 가능하다 (64비트를 깔면 된다) View the content of Windows Prefetch (.pf) files WinPrefetchView v1.37 Copyright (c) 2010 - 2021 Nir Sofer Description Each time that you run an application in your system, a Prefetch file which contains information about the files loaded by the application is created by Windows operating system. Twww.nirsoft.net아래를 확인하면 한국어 번역된 zip 파일도 존재하니 깔면 좋을 것 같다.ini파일을 같은 폴..
