Startseite‎ > ‎IT-Forensik‎ > ‎Artefakte‎ > ‎

Windows

HKEY_LOCAL_MASCHINE\SAM
bzw. %Windir%/System32/config             # Benutzerkennungen,  SID, Passwörter

index.dat                                # Internet-History
C:\Recycler\Userid\info2         # Papierkorb bei Windows XP

C:\$recycle.bin                       # Papierkorb Windows 7

C:\hilberfil.sys
Eine Datei in die Alle Informationen, auch aus dem Arbeitsspeicher beinhaltet, wenn ein Notebook im laufenden betrieb zusammengeklappt wird, sich also im Ruhezusand befindet.
Voraussetzung dafür ist, dass unter Energieoptionen der Hilbernation-Modus eingeschaltet wurde.

C:\pagefile.sys
Beinhaltet den Auslagerungsspeicher.
Einstellungen für die Größe der Datei:
Windows XP: Systemsteuerung > System> Erweitert > Systemleistung> Einstellungen > Erweitert>Virtueller Arbeitsspeicher
Windows7: Systemsteuerung > System> Erweiterte Systemleistungen> Leistung> Erweitert> Virtueller Arbeitsspeicher
Der Dateiname kann abweichen, lässt sich aber in der Registry auslesen:
HKEY_LOCAL_MASCHINE\SYSTEM\CurrentControlSet\Control\SessionManager\MemoryManagement
hosts            # Manuell eingetrgene Rechnernamen und deren IP-Adressen

lmhosts        # NetBIOS-Namen für die Namensauflösung


Comments