比特派官网公告最新版下载|pf文件
作者： 比特派官网公告最新版下载
2024-03-07 20:31:22
PF文件是什么文件，有什么功能，麻烦回答一下，谢谢？ - 知乎
PF文件是什么文件，有什么功能，麻烦回答一下，谢谢？ - 知乎首页知乎知学堂发现等你来答切换模式登录/注册文件管理文件文件修复PF文件是什么文件，有什么功能，麻烦回答一下，谢谢？关注者2被浏览21,590关注问题写回答邀请回答好问题添加评论分享2 个回答默认排序降而生商 关注预读文件，功能在于加快系统运行速度，改善系统运行效率发布于 2021-07-17 00:45赞同添加评论分享收藏喜欢收起蚁景网络安全科技专注网络安全人才培养 关注# 一、简介Prefetch预读取文件，简称pf文件，是从Windows XP开始引入，作用是加速系统和应用程序启动过程。pf文件包含了可执行文件的名称、路径、调用DLL文件的列表、上次执行时间、运行次数等信息。简单来说，就相当于缓存。在Windows 7中可以记录128个条目，Windows 8/10可记录1024个条目。# 二、文件分析pf文件存储在%SystemRoot%\Prefetch文件夹中。Pf文件的名称由“大写字母的应用程序名、-、大写的8位十六进制哈希值、.pf扩展名”组成。当用户首次运行某个应用程序的时候，Windows操作系统的Windows Cache Manager程序会跟踪记录应用程序启动过程中所需的代码和数据（主要是DLL)，然后由一个名为NTKRNLPA.exe的核心进程将在内存中跟踪的数据以pf文件的形式保存下来。当用户下一次运行相同程序时候，系统会首先读取pf文件将必要的数据和代码加载到内存中，以加快程序的启动过程。通过WinHex打开一个pf文件观察其组成结构：（这里以Windows 7中的pf文件举例）偏移位置：00H：17 00 00 00：pf文件格式的版本偏移位置：04H：53 43 43 41：签名SCCA偏移位置：08H：11 00 00 00：未知偏移位置：0CH：C6 4D 01 00：pf文件长度偏移位置：10H：43 00 48 00 52 00 4F 00 4D 00 45 00 2E 00 45 00 58 00 45 00 00：应用程序的名称，这里是CHROME.EXE偏移位置：4CH：BA B1 99 D9：pf文件的哈希值，与应用程序名称一起组成了pf文件名偏移位置：80H：D2 38 72 D9 E0 6B D7 01：应用程序最后一次运行的时间偏移位置：98H：0B 00 00 00：应用程序运行次数在不同的系统版本中，pf文件的版本有所不同，在Windows xp/2003中版本是17(0x11)，Windows 7是23(0x17)，Windows 8 是26(0x1a)，Windows 10的版本是30(0x1e)。pf文件信息的格式也因为pf版本不同而有所不同：如在xp系统中pf文件信息中记录应用程序最后一次运行的时间的偏移位置是78H，记录程序运行次数的偏移位置是90H。如果是Windows 10的pf文件则是经过压缩的（Microsoft XPRESS Huffman（LZXPRESS）压缩算法），文件结构信息如下：开头的4D 41 4D 04是MAM签名，然后是EE 65 04 00是压缩pf文件的总长度。# 三、Prefetch取证实战描述：公司的SIEM系统识别到公司某些主机上一个名为Scvhost.exe的可疑文件。我们确认Scvhost.exe是否已经在主机上运行过，运行的时间及如何被删除的。找出可疑文件的最后执行时间和执行次数。提供的附件：通过使用pf解析工具PECmd（https://github.com/EricZimmerman/PECmd）对pf文件进行分析。根据pf文件解析的结果进行分析，可以得出该文件最后执行的时间是2020-02-07 21:26，总共运行的次数是4次。根据程序执行的时间线分析：可能是通过微软Sysinternals的sdelete.exe工具进行删除的。【——全网最全的网络安全学习资料包分享给爱学习的你，关注我，私信回复“领取”获取——】1.网络安全个方向学习路线2.全网最全的CTF入门学习资料3.一线大佬实战经验分享笔记4.网安大厂面试题合集5.红蓝对抗实战技术秘籍6.网络安全基础入门、Linux、web安全、渗透测试方面视频# 参考文章：[Windows Prefetch File Format - Forensics Wiki](https://forensicswiki.xyz/wiki/index.php?title=Windows_Prefetch_File_FormatCompression - Forensics Wiki：https://forensicswiki.xyz/wiki/index.php?title=Compression作者：合天网安实验室 声明：笔者初衷用于分享与普及网络知识，若读者因此作出任何危害网络安全行为后果自负，与合天网安实验室及原作者无关，本文为合天网安实验室原创，如需转载，请注明出处！发布于 2022-07-05 09:28赞同 1添加评论分享收藏喜欢收起
Windows系统 Prefetch目录 *.pf 文件解析 -- 探索程序运行记录、保护隐私_pf文件分析-CSDN博客
>Windows系统 Prefetch目录 *.pf 文件解析 -- 探索程序运行记录、保护隐私_pf文件分析-CSDN博客
Windows系统 Prefetch目录 *.pf 文件解析 -- 探索程序运行记录、保护隐私
最新推荐文章于 2021-05-02 05:11:13 发布
duke56
最新推荐文章于 2021-05-02 05:11:13 发布
阅读量2.2w
收藏
26
点赞数
7
分类专栏：
C/C++
安全隐私
文章标签：
LastActivityView分析
稳私
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/duke56/article/details/103551416
版权
C/C++
同时被 2 个专栏收录
25 篇文章
3 订阅
订阅专栏
安全隐私
3 篇文章
0 订阅
订阅专栏
一、前言
1、本文说明
如果喜欢打开XX软件看XX视频等，看了多少次，什么时候看的，都会被记录下来，用软件来查看一下，全部的隐私都没有了。
家里的小孩玩的啥游戏，玩了多少次，也都可以看得一清二楚。
查看*.pf格式的软件有：WinPrefetchView、LastActivityView等。
本文带你深入了解pf格式文件所隐藏的内容，并用C/C++编写了个小软件，实现了隐私读取和分析。
顺带讲一下如何清除该隐私.
2、pf 文件简介
在Windows XP及其以后的操作系统中，增加了预读取功能(也可以理解为“预先装载”)，该功能可以提高系统的性能，加快系统的启动、文件读取的速度，这些预读文件保存在％systemroot％\Prefetch目录中，以*.pf为扩展名，这些*.pf文件包括了载入文件的详细信息和载入顺序。
每一个应用程序，包括Windows XP的启动过程，都会在PrefetCh目录下留下相应的预读取文件，预读取文件描述了应用程序或启动时各个模块的装载顺序，其命名方式是以应用程序的可执行文件的名字为基础，加上一个“-”和描述执行文件完整路径的十六进制值，再加上文件扩展名.pf，例如QQ.EX-0065A2A1.pf。每当用户启动一个程序，会自动在Prefetch目录中对应的*.pf文件中留下一条记录。不过，Windows XP启动的预读取文件总是同一个名称，即NTOSBOOT-B00DFAAD.PF，其中包含着启动时载入文件的记录。
当下一次启动系统或运行某个程序时，Windows会参考相应的*.pf文件，将其中记录的所有文件载入内存，而不是象以往一项一项依指令逐个载入文件。另外，Windows会利用启动程序或程序的*.pf文件制订一个最优化的磁盘分配方案，这个方案的相关信息存储在Lyaout.ini文件中。
二、关闭预加载功能、保护隐私
注册表项位置：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management\PrefetchParameters
EnablePrefetcher键值：
0代表完全不预读，即为取消预读功能 设置为"1"，系统将只预读应用程序； 设置为"2"，系统将只预读Windows系统文件； 设置为"3"，系统将预读Windows系统文件和应用程序(默认值,有的系统版本默认为1)
修改注册表后，再删除：C:\Windows\Prefetch（C:\为系统盘）下的所有*.pf格式文件
注册表路径太长了，放引用里换行了，单独拿出来：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management\PrefetchParameters
三、pf 文件格式分析
图一、使用WinHex打开的pf文件头部信息
x86系列的CPU都是 Little-Endian 的字节序。所要获取的值得倒着看！
如图一，文件的长度（第一行的C - F位置）：04 4C 00 00，其值是：00 00 4C 04。
1、头部信息详解（对图一进行分析）
pf文件头部信息分析
偏移位作用值0x00000000 - 0x0000000B暂定为固定信息(暂时不知道有何用处)0x0000000C - 0x0000000F文件长度0x4C040x00000010 - 0x00000029pf文件名CONHOST.EXE0x00000064 - 0x00000067预加载位置0x38700x0000006C - 0x0000006F预加载大小0x0EB00x00000080 - 0x00000087 最后一次运行时间(FILETIME型)0x01D5B4D9 0x811686FB0x00000098 - 0x0000009B文件运行次数0x22
2、用C/C++定义的结构体
typedef struct pfFILEHEAD
{
unsigned char unknown_1[0x0C];
unsigned int End; //文件长度
wchar_t FileName[0x14]; //文件名
unsigned char unknown_2[0x2C];
unsigned int Start; //预加载位置
unsigned int SizeOff; //大小
unsigned char unknown_3[0x14];
FILETIME Ctime; //最后一次运行时间
unsigned char unknown_4[0x10];
unsigned int RunCount; //运行次数
} FILEHEAD;//定义的头部信息结构体
3、预加载信息
图二、0x2D28 预加载信息位置
预加载信息是由头部信息里的0x00000064位置记录着的，记录路径用的是宽字符（wchar_t类型）存储的，用记事本等软件打开是乱码。
可用WinHex来打开查看。
找到相应的位置后，可以看到“\DEVICE\HARDDISKVOLUME”开头的路径（Dos驱动路径）
4、其它
pf文件内容本身并不包含指定是那个运行程序的预加载，想要得到是那个程序运行的信息，可以在搜索NT路径时对比文件名。
pf文件命名有一定的规律性，这里不用获取文件名方式，主要是考虑到“离线”分析，文件名是可以改的。
四、C/C++语言编程
打包的工程里包含了转换成NT路径的源代码：https://download.csdn.net/download/duke56/12043965
打包了VC6.0 和 VS2008工程，方便下载打开直接编译。
这里为了文章的简洁，去掉了转换成NT路径的源代码，工程里的程序运行结果请看图三。
#include
#include
#include
typedef struct pfFILEHEAD
{
unsigned char unknown_1[0x0C];
unsigned int End; //文件长度
wchar_t FileName[0x14]; //文件名
unsigned char unknown_2[0x2C];
unsigned int Start; //预加载位置
unsigned int SizeOff; //大小
unsigned char unknown_3[0x14];
FILETIME Ctime; //最后一次运行时间
unsigned char unknown_4[0x10];
unsigned int RunCount; //运行次数
} FILEHEAD;//定义的头部信息结构体
int main(void)
{
char FilePath[] = "C:\\Windows\\Prefetch\\CONHOST.EXE-1F3E9D7E.pf";//要分析的文件,自行修改
FILEHEAD FileInfo;//文件头部结构体
unsigned int len = 0;
unsigned int status = 0;
setlocale(LC_ALL, "chs");
FILE *stream = fopen(FilePath,"r");
if ( !stream )
{
printf("打开pf文件失败：%s\n",FilePath);
return -1;
}
memset(&FileInfo,0,sizeof(FILEHEAD));
status = fread(&FileInfo,sizeof(FILEHEAD),1,stream);//读取头部信息
if ( !status )
{
wprintf(L"读取pf文件头部信息失败\n");
return -2;
}
FILE *SaveFile = fopen("Info.txt","w+");//输出信息保存文件
wprintf(L"文件名称：%s\n",FileInfo.FileName);
wprintf(L"文件长度：%X\n",FileInfo.End);
wprintf(L"加载位置：%X\n",FileInfo.Start);
wprintf(L"加载大小：%X\n",FileInfo.SizeOff);
SYSTEMTIME stUTC, stLocal; // 保存文件的UTC时间和本地时间
FileTimeToSystemTime(&FileInfo.Ctime, &stUTC);
SystemTimeToTzSpecificLocalTime(NULL, &stUTC, &stLocal);
wprintf(L"修改时间：%u-%u-%u %u:%u:%u:%u 星期:%d\n",
stLocal.wYear,stLocal.wMonth,stLocal.wDay,
stLocal.wHour,stLocal.wMinute,stLocal.wSecond,
stLocal.wMilliseconds,stLocal.wDayOfWeek);
wprintf(L"运行次数：%d\n\n",FileInfo.RunCount);
if ( SaveFile )
{
fwprintf(SaveFile,L"文件名称：%s\n",FileInfo.FileName);
fwprintf(SaveFile,L"文件长度：%X\n",FileInfo.End);
fwprintf(SaveFile,L"加载位置：%X\n",FileInfo.Start);
fwprintf(SaveFile,L"加载大小：%X\n",FileInfo.SizeOff);
fwprintf(SaveFile,L"修改时间：%u-%u-%u %u:%u:%u:%u 星期:%d\n",
stLocal.wYear,stLocal.wMonth,stLocal.wDay,
stLocal.wHour,stLocal.wMinute,stLocal.wSecond,
stLocal.wMilliseconds,stLocal.wDayOfWeek);
fwprintf(SaveFile,L"运行次数：%d\n\n",FileInfo.RunCount);
}
wchar_t * SearchPath = (wchar_t *)malloc( FileInfo.SizeOff );//申请保存检索文件驱动信息
memset(SearchPath,0,FileInfo.SizeOff);
fseek(stream,FileInfo.Start,SEEK_SET);//移动文件指针到信息位置
fread(SearchPath,FileInfo.SizeOff,1,stream);//读取信息内容
unsigned int index = 0;//检索路径位置
unsigned Offset = 0;
for ( int count = 0; Offset < FileInfo.SizeOff && (SearchPath + index)[0] == L'\\'; ++count ) //'
{
len = wcslen(SearchPath + index);
Offset += len * sizeof(wchar_t);
wprintf(L"索引位置：%d\n",count);
wprintf(L"Dos驱动路径：%s\n",SearchPath + index);
wprintf(L"=========================================\n");
if ( SaveFile )
{
fwprintf(SaveFile,L"索引位置：%d\n",count);
fwprintf(SaveFile,L"Dos驱动路径：%s\n",SearchPath + index);
fwprintf(SaveFile,L"=========================================\n");
}
index += wcslen(SearchPath + index) + 1;//获得下一个路径位置
}
free(SearchPath);
fclose(stream);
fclose(SaveFile);
return 0;
}
图三、完整程序运行截图
passwd：0x01D5B4D9 0x811686FB
（包括中间的空格，直接从0x复制到FB）
关注博主即可阅读全文
优惠劵
duke56
关注
关注
7
点赞
踩
26
收藏
觉得还不错?
一键收藏
知道了
1
评论
Windows系统 Prefetch目录 *.pf 文件解析 -- 探索程序运行记录、保护隐私
一、前言1、本文说明如果喜欢打开XX软件看XX视频等，看了多少次，什么时候看的，都会被记录下来，用软件来查看一下，全部的隐私都没有了。家里的小孩玩的啥游戏，玩了多少次，也都可以看得一清二楚。查看*.pf格式的软件有：WinPrefetchView、LastActivityView等。本文带你深入了解pf格式文件所隐藏的内容，并用C/C++编写了个小软件，实现了隐私读取和分析。...
复制链接
扫一扫
专栏目录
WindowsPrefetch目录
04-28
WindowsPrefetch目录
Windows7中Prefetch预读文件技术详解
weixin_33670786的博客
12-12
1240
大家都知道，Windows系统有种预读文件的缓存机制，让过去打开过的程序、服务再次打开时更快捷。WindowsXP中采用了这个Prefetch技术，每次在电脑里面存入.pf文件，它包含了应用程序加载的文件的信息。在预取文件中的信息用于优化下次运行这些应用程序的载入时间。
Vista和Windows7下的Superfetch是在WinXP预取(Prefetch)基础上进...
1 条评论
您还未登录，请先
登录
后发表或查看评论
XX公司软件开发管理制度
01-02
XX公司软件开发管理制度，很适合软件企业用于开发软件建立文档。
pf_pageparser:PHP中的简单Regex HTML页面解析器
04-30
pf_pageparser
这是我编写HTML解析器，因为我刮了很多网站以查找结构化的重复数据。 这个解析器使我可以轻松清理HTML，将其拆分成块并在每个块中找到正确的数据。它不使用DOM解析器，因此它也可以用于部分或无效HTML
安装
您可以通过composer安装该软件包：
composer require pforret/pf_pageparser
用法
$ pp = New PfPageparser ([ "cacheTtl" => 300 ]);
$ pp -> load_from_url ( "http://www.example.com/products" )
-> trim ( "