Jumlist & Prefetch 개념 및 실습

Jumplist 개념 및 실습

Jumplist

최근 사용한 파일/폴더에 빠르게 접근하기 위한 구조

아래쪽 아이콘을 누르면 상위사이트/최근에 닫음/고정됨/자주 방문한 폴더/최근 압축 등 

 

종류

Automatic: 운영체제가 자동으로 남기는 항목

Custom: 응용 프로그램이 자체적으로 관리하는 항목

 

경로

%UserProfile%\AppData\Roaming\Microsoft\Windows\Recent\AutomaticDestinations

%UserProfile%\AppData\Roaming\Microsoft\Windows\Recent\CustomDestinations

 

Jumplist 실습

FTK Imager로 추출

%UserProfile%\AppData\Roaming\Microsoft\Windows\Recent\AutomaticDestinations

%UserProfile%\AppData\Roaming\Microsoft\Windows\Recent\CustomDestinations

 

Jumplist Explorer(GetZimmermanTools에 포함되어 있음) 이용해 분석

https://ericzimmerman.github.io/#!index.md

 

 

File - Load Jumplist - 추출한 폴더에서 전체 선택(Crtl+A)

 

• 앱아이디 별로 점프리스트가 남음
• 알려진 건 도구에서 표시(Window Explorer, Google, Chrome 등), 모르면 UnknownID로 표시
• 하나 클릭 시 왼쪽에 각각의 LNK파일을 보여줌(이 파일들이 아이콘 우클릭 시 나오는 것)
• 우클릭-Export-LNK 파일로 추출 가능
• 내부의 LNK를 분석 및 처리 가능한 도구

Prefetch 개념 및 실습

prefetch

응용프로그램의 빠른 실행을 위해서 존재하는 파일(CPU/RAM/HDD)

응용프로그램을 실행할 때에 생성

실행 파일 이름, 경로

실행 파일의 실행 횟수

실행 파일의 마지막 실행 시간

실행 파일의 최초 실행 시간

 

Prefetch 실습

프리패치 경로

%SystemRoot%\Prefetch

 

WinPrefetchView 이용해서 분석

https://www.nirsoft.net\utils\win_prefetch_view.html

 

더블클릭 시 사진처럼 정보 확인 가능