用途：在 Windows 主机取证与事件响应中，从取证镜像或已提取的注册表配置单元（SAM、SYSTEM、SOFTWARE、SECURITY、DEFAULT、NTUSER.DAT、UsrClass.dat）中提取并分析痕迹，用于调查用户活动、识别恶意软件自启动/持久化、追踪已安装软件、USB 设备与网络连接，以及内部威胁调查，并将注册表时间戳与其他取证痕迹关联。
主要能力：使用 RegRipper 按配置单元或插件自动提取痕迹（如 userassist、usbstor、recentdocs、typedurls、typedpaths、compname、nic2、networklist、timezone、shutdown、uninstall）；用 python-registry 编程解析 Run/RunOnce/RunServices 等自启动键、UserAssist（ROT13 编码，含运行次数与时间戳）、MRU 列表；结合 Registry Explorer、RECmd、yarp、AppCompatCacheParser、AmcacheParser、ShellBags Explorer 分析 ShimCache、AmCache、BAM/DAM、ShellBags 等。
使用方式：先只读挂载取证镜像并复制配置单元与事务日志，对提取文件做 SHA256 哈希；再运行 RegRipper，例如 perl /opt/regripper/rip.pl -r <hive> -f ntuser 或 -p userassist；也可用 pip install python-registry 后编写脚本定向读取键值。
适用场景：恶意软件持久化调查、用户活动重建、未授权软件检测、USB 数据外泄调查。
限制：需具备取证镜像或配置单元文件、相应工具与注册表结构知识；脏配置单元需借助事务日志恢复；部分痕迹（如 UserAssist）为编码或二进制格式，需正确解析；具体收费、平台与效果资料未提供。