Windows Prefetch Dosyalarından Program Geçmişini Çıkarma
Windows, her çalıştırılan uygulamanın bilgisini Prefetch klasöründe tutar. Bu dosyalar, programın çalışma zamanı, çalıştırılma sıklığı ve son çalışma tarihi gibi değerli veriler içerir. Adli bilişim soruşturmalarında kimin hangi programları kullandığını ortaya çıkarmak için kritik kaynak olur.
Prefetch dosyaları C:\\Windows\\Prefetch\\ konumunda.pf uzantısıyla saklanır. Dosya adı programın adı ve bir hash değeri içerir. Örneğin, notepad.exe için NOTEPAD.EXE-ABC123DEF.pf gibi bir dosya oluşur.
Python'la bu dosyaları okumak için prefetch kütüphanesini kullanabilirsin. adım adım bir uygulama:
1pip install prefetchAşağıdaki script, Prefetch klasöründeki tüm dosyaları tarar ve program adı, çalışma sayısı, son çalışma zamanı gibi bilgileri çıkarır:
1import os2from datetime import datetime3try:4from prefetch import PrefetchFile5except ImportError:6print("prefetch kütüphanesi yüklenemedi. pip install prefetch çalıştır.")7exit()89prefetch_path = "C:\\Windows\\Prefetch"1011if not os.path.exists(prefetch_path):12print(f"Prefetch klasörü bulunamadı: {prefetch_path}")13exit()1415print("[*] Windows Prefetch Analizi Başladı")16print("-" * 70)17print(f"{'Program Adı':<30} {'Çalışma Sayısı':<15} {'Son Çalışma'}")18print("-" * 70)1920for filename in os.listdir(prefetch_path):21if filename.endswith('.pf'):22filepath = os.path.join(prefetch_path, filename)23try:24pf = PrefetchFile(filepath)25program_name = pf.executable_name26run_count = pf.run_count27last_run = pf.last_run_time2829if last_run:30last_run_str = last_run.strftime('%Y-%m-%d %H:%M:%S')31else:32last_run_str = "Bilinmiyor"3334print(f"{program_name:<30} {run_count:<15} {last_run_str}")35except Exception as e:36print(f"[!] Hata ({filename}): {e}")3738print("-" * 70)39print("[*] Analiz tamamlandı.")Beklenen çıktı şöyle görünür:
1[*] Windows Prefetch Analizi Başladı2----------------------------------------------------------------------3Program Adı Çalışma Sayısı Son Çalışma4----------------------------------------------------------------------5NOTEPAD.EXE 3 2024-01-15 14:32:106CHROME.EXE 45 2024-01-15 16:45:227PYTHON.EXE 12 2024-01-15 15:10:058CMD.EXE 8 2024-01-15 16:30:159----------------------------------------------------------------------10[*] Analiz tamamlandı.Sık yapılan hata: Prefetch dosyaları sistem korumalı konumdadır. Scripti yönetici (Administrator) olarak çalıştırman gerekir. Aksi halde erişim reddedilir. Ayrıca, Windows Defender veya antivirüs yazılımı dosya erişimini engelleyebilir; gerekirse izin ver. Dosya yapısı Windows sürümüne göre değişebileceğinden, test ortamında denemeyi unutma.
0 yorum