用途：在事件响应与数字取证中，判断 Windows 系统上曾存在或执行过哪些程序，构建应用安装与执行时间线，识别已删除可执行文件残留、内部威胁中的便携或未授权软件，以及驱动加载历史中的 rootkit 或恶意内核模块。注意：Amcache 只能证明文件存在与元数据注册，不能单独作为执行证据，需与 ShimCache、Prefetch 结合使用。
主要能力：AmcacheParser 解析 Amcache.hve 并输出多个 CSV，包括关联文件条目（SHA-1、路径、大小、时间戳）、未关联文件条目、程序条目（名称、发布者、版本、安装日期）、设备容器、PnP 设备与驱动二进制。支持 SHA-1 白名单（如 NSRL）过滤、已知恶意哈希包含列表、包含已删除条目与高精度时间戳。
使用方式：先获取 C:\Windows\appcompat\Programs\Amcache.hve 及 .LOG1、.LOG2 事务日志，可用 KAPE 采集：kape.exe --tsource C: --tdest D:\Evidence%m --target Amcache。解析命令：AmcacheParser.exe -f "D:\Evidence\Amcache.hve" --csv "D:\Evidence\Output"；可加 -w 白名单、-b 恶意哈希列表、-i --mp。用 Timeline Explorer 查看 CSV，按 Publisher 为空、可疑路径（\temp\、\appdata\、\downloads\ 等）、时间窗口、LinkDate 与 FileKeyLastWriteTimestamp 差异筛选。提取 SHA-1 后可用 vt-cli 或 CIRCL hashlookup 比对。
适用场景：事件响应、取证调查、内部威胁调查、rootkit 检测、BYOVD 攻击分析。
限制：需 .NET 6+ 运行时与输出目录写权限；Amcache.hve 被系统锁定，需原始磁盘复制工具；必须同时收集事务日志以恢复未提交数据；不能单独证明执行；具体收费、价格与平台信息暂未提供。