Registry Forensics 是一个面向 Windows 注册表取证的技能，用于分析注册表配置单元（hive），以发现用户活动、恶意软件持久化、系统配置以及程序执行证据。它能够从 SAM、SYSTEM、SOFTWARE、NTUSER.DAT 等注册表配置单元中提取具有取证价值的痕迹。
主要能力
- 注册表配置单元解析：解析所有 Windows 注册表配置单元类型（SAM、SYSTEM、SOFTWARE、NTUSER.DAT、USRCLASS.DAT）。
- 持久化分析：识别自启动项、服务和计划任务。
- 用户活动追踪：提取最近文档、输入的 URL、搜索历史。
- 程序执行分析：分析 UserAssist、Shimcache、Amcache、BAM/DAM。
- USB 设备历史：提取已连接的 USB 设备信息。
- 网络历史：分析网络连接历史与配置文件。
- 系统配置：提取操作系统版本、时区、计算机名。
- 恶意软件指标：检测已知的恶意注册表模式。
- 时间线生成：创建基于注册表的活动时间线。
- 注册表对比：比较注册表状态以进行变更检测。
使用方式
该技能以 Python 模块形式提供，通过导入相关类进行调用。快速开始示例：
from registry_forensics import RegistryAnalyzer, HiveParser, PersistenceScanner
解析注册表配置单元
parser = HiveParser("/evidence/NTUSER.DAT")
获取所有键
keys = parser.get_all_keys()
扫描持久化
scanner = PersistenceScanner("/evidence/") persistence = scanner.scan_all_hives()
分析用户活动
analyzer = RegistryAnalyzer("/evidence/") activity = analyzer.get_user_activity()
该技能涵盖以下任务类型：
- 注册表配置单元解析：加载并验证配置单元文件，解析结构，枚举键和值，提取元数据，生成配置单元摘要。
- 持久化机制分析：加载相关配置单元，检查常见持久化位置，分析自启动项，识别可疑条目，并与已知恶意软件关联。
- 用户活动分析：解析用户注册表配置单元，提取最近文档、输入的路径和 URL，分析搜索历史，提取用户偏好。
- 程序执行分析：解析 UserAssist 条目，分析 Shimcache，解析 Amcache，检查 BAM/DAM，关联执行证据。
- USB 设备历史：解析 USB 设备条目，提取设备详情，确定首次/最后连接时间，映射卷信息，识别设备所有者。
- 网络配置分析：解析网络配置文件，提取连接历史，获取接口配置，分析无线网络，检查 VPN 配置。
- 系统信息提取：提取操作系统信息，获取计算机名/域，提取时区，获取已安装软件，确定系统配置。
- SAM 分析（用户账户）：解析 SAM 配置单元，提取用户账户，获取账户元数据，分析登录信息，提取密码提示。
- 注册表中的恶意软件检测：扫描已知恶意软件指标，检查可疑键模式，分析编码值，检测混淆，生成 IOC。
适用场景
该技能适用于数字取证调查、事件响应、恶意软件持久化分析、用户活动重建、程序执行痕迹分析、USB 设备使用历史调查、网络连接历史分析、系统配置核查以及用户账户审计等场景。
限制
资料中未提供关于运行环境、依赖库、支持的操作系统版本、性能限制或已知缺陷的明确说明，这些信息暂未提供。