用途：从 Windows 取证镜像的 C:\Windows\Prefetch 目录解析 Prefetch 文件，确定哪些程序被执行、执行次数与最近执行时间，用于恶意软件调查、事件时间线重建、可疑二进制执行确认，以及识别反取证工具或未授权软件。
主要能力：支持 Prefetch 版本 17（XP）、23（Vista/7）、26（8.1）、30（10）；可提取可执行文件名与路径、运行次数、最近运行时间（Win8+ 最多 8 个时间戳）、执行期间引用的文件与目录、卷信息（序列号、创建日期）及 Prefetch 文件创建时间。注意 Win10 文件使用 MAM4 压缩，需先解压再解析。
使用方式：先从取证镜像复制 .pf 文件并做 SHA256 校验；再用 PECmd.exe -d 目录 --csv 输出目录 --csvf prefetch_results.csv 批量解析，或用 pip install prefetch 后以 Python 脚本解析；随后按关键字（如 MIMIKATZ、PSEXEC、RCLONE、POWERSHELL 等）筛选可疑执行，并生成按时间排序的执行时间线 CSV。Prefetch 文件名格式为 EXECUTABLE_NAME-XXXXXXXX.pf，哈希基于可执行文件路径，同一程序不同路径会产生不同文件。
适用场景：确认恶意软件执行、还原攻击者工具使用顺序（侦察、凭据窃取、横向移动）、识别数据打包与外传工具、检测反取证行为（如 Prefetch 目录被清空）。
限制：Prefetch 默认在客户端系统启用、服务器系统禁用；运行次数可能回绕；需与其他取证痕迹（Shimcache、Amcache）交叉验证；资料未提供具体收费、价格或平台支持信息。