Windows环境下可执行文件操作痕迹分析方法

摘要

cqvip:电子数据取证（特别是针对恶意程序进行调查）实践中,可执行文件操作信息在揭示犯罪分子行为细节方面发挥着重要作用。通常,可执行文件操作痕迹涵盖可执行文件名称、功能、位置、运行次数、运行时问、操作用户等多种信息。依靠Windows操作系统自带的系统命令或工具无法深入完整的挖掘出上述信息，因此针对此类痕迹分析方法的研究具有非常积极而重要的意义。