01Konum
- C:\Windows\AppCompat\Programs\Amcache.hve
- C:\Windows\AppCompat\Programs\Amcache.hve.LOG1
- C:\Windows\AppCompat\Programs\Amcache.hve.LOG2
02Yanıtladığı sorular
- Sistemde hangi yürütülebilir dosyalar, hangi yollarda kaydedildi?
- Diskte artık bulunmayabilecek bir ikilinin SHA-1 değeri nedir?
- Hangi programlar, hangi kaynaktan (MSI, AppX, Program Ekle/Kaldır) ve ne zaman kuruldu?
- Bilinmeyen bir dosyayı hangi PE üst verileri (yayıncı, sürüm, bağlama tarihi) tanımlıyor?
03Biçim ve sürümler
| Biçim | İşlem günlükleriyle birlikte Windows NT Registry File (REGF) kovanı. Windows 8, 8.1, 10, 11 ve 2012'de kök anahtar {11517B7C-E79D-4e20-961B-75A811715ADD} olup altındaki Root anahtarının alt anahtarları derlemeye göre değişir (eski düzende File ve Programs; Windows 10'da Inventory* anahtarları). |
|---|---|
| Geçerli olduğu sürümler | Windows 7 / Server 2008 R2 ve sonrası. InventoryApplication ilk kez Windows 10 1607'de, InventoryApplicationFile Windows 10 1709'da görülmüştür. |
04Temel alanlar
| Alan | Ne anlatır |
|---|---|
| File\{volume GUID}\{file reference} (older layout) | 15 = yol, 101 = '0000' ve ardından SHA-1, 11/12 = dosya değiştirme/oluşturma FILETIME, f = PE bağlama zamanı (POSIX saniye), 100 = ProgramId. |
| InventoryApplicationFile | LowerCaseLongPath, FileId, Size, LinkDate, Publisher, Version, BinaryType, ProgramId ve Usn dahil dosya başına değerler. |
| InventoryApplication | Program kayıtları: Name, Publisher, Version, InstallDate, Source (AppxPackage, AddRemoveProgram, Msi, File), RootDirPath, UninstallString. |
| Programs (older layout) | ProgramId başına ad, sürüm, yayıncı, kurulum yöntemi ve kaldırma kayıt defteri yolları. |
| Root\Sync | REG_QWORD eşitleme tarihi ve saati (FILETIME). |
05Zaman damgaları
| Alan | Kodlama | Not |
|---|---|---|
| File values 11 / 12 | FILETIME (UTC) | NTFS'te $STANDARD_INFORMATION kaynaklı dosya değiştirme ve oluşturma zamanları; çalıştırmayı değil dosyayı tanımlar. |
| File value f / LinkDate | POSIX seconds / date-time string | İkilinin PE başlığındaki bağlama (derleme) zamanı; bu ana makinedeki etkinliği göstermez. |
| InventoryApplication InstallDate | Date-time string (e.g. 07/16/2016 22:55:48) | dtformats bu dizelerin yerel ayara bağlı olup olmadığını henüz belirlememiştir. |
| Key last written time | FILETIME (UTC) | REGF adlandırılmış anahtar kaydında anahtar başına tutulur; belgelenmiş bir çalıştırma zamanı değildir. |
Ham değerleri Zaman damgası çözücü, yerel saatleri ise Yerel saatten UTC'ye ile çözün.
06İnceleme akışı
- Amcache.hve dosyasını .LOG1 ve .LOG2 ile birlikte edinin ve ayrıştırmadan önce işlem günlüklerini uygulayın.
- Root altındaki alt anahtarlardan düzeni (File/Programs veya Inventory*) belirleyin.
- Yolları, SHA-1 değerlerini (baştaki dört sıfırı atarak) ve PE üst verilerini çıkarın; dosya girdilerini ProgramId üzerinden programlara bağlayın.
- Özetleri bilinen iyi ve kötü kümelerle karşılaştırın; yolları Prefetch, AppCompatCache ve BAM ile ilişkilendirin.
07Yorum tuzakları
- Bir Amcache girdisi, program çalıştırmasını kanıtlamak için genellikle tek başına kullanılmamalıdır.
- FileId her zaman tam dosya özeti değildir: büyük dosyalarda SHA-1 yalnızca ilk 30 MB'ı kapsar.
- Anahtar düzeni Windows 10 derlemeleri arasında farklılık gösterir ve bazı değerlerin anlamı kamuya açık belgelerde hâlâ bilinmemektedir.
09Kaynaklar
- AMCache file (AMCache.hve) format libyal / dtformats (J. Metz) · erişim 2026-10-14
- AMCache ForensicArtifacts / artifacts-kb · erişim 2026-10-14
- ShimCache and AmCache Forensic Analysis Cyber Triage (Sleuth Kit Labs) · erişim 2026-10-14
- AmcacheParser README Eric Zimmerman (GitHub) · erişim 2026-10-14
- Windows NT Registry File (REGF) format libyal / libregf (J. Metz) · erişim 2026-10-14