01Konum
- NTUSER.DAT: Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs
- NTUSER.DAT: Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs\<.extension>
- NTUSER.DAT: Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs\Folder
02Yanıtladığı sorular
- Kullanıcı son zamanlarda, uzantı bazında, hangi dosya ve klasörleri açtı?
- Hangi sırayla açıldılar?
- Her uzantı alt anahtarı en son ne zaman değişti?
03Biçim ve sürümler
| Biçim | Vista ve sonrası: MRUListEx (4 baytlık little-endian dizin dizisi, en yenisi önce) ve her biri UTF-16LE dosya adı ile ardından bir shell item içeren numaralı değerler. Windows 2000/XP: MRUList ile sıralanan dize değerleri. |
|---|---|
| Geçerli olduğu sürümler | Windows 2000 ve sonrası; değer yapısı Windows Vista ile değişmiştir. |
04Temel alanlar
| Alan | Ne anlatır |
|---|---|
| MRUListEx | Numaralı değerlerin yakınlık sırası. |
| Numbered value | Dosya adı (UTF-16LE) ve öğeye ait shell item. |
| Extension sub-keys | Uzantı başına ayrı MRU listeleri ve bir Folder alt anahtarı. |
05Zaman damgaları
| Alan | Kodlama | Not |
|---|---|---|
| Key last written time | FILETIME (UTC) | Anahtar başına saklanır; doğrulama olmadan tek bir değere atanamaz. |
Ham değerleri Zaman damgası çözücü, yerel saatleri ise Yerel saatten UTC'ye ile çözün.
06İnceleme akışı
- Her kullanıcı profili için RecentDocs anahtarını ve tüm alt anahtarlarını ayrıştırın.
- Değerleri MRUListEx'e göre sıralayın ve gömülü shell item'ları çözün.
- Tam yolları ve zamanları elde etmek için adları Recent klasöründeki LNK dosyaları ve Jump List'lerle eşleştirin.
07Yorum tuzakları
- Anahtar Windows Explorer'dan açılan dosyaları kapsar; diğer erişim yolları girdi bırakmayabilir.
- Değerler tam yol yerine dosya adı saklar; yolu diğer artefaktlardan yeniden oluşturun.
09Kaynaklar
- Most recently used (MRU) libyal / winreg-kb · erişim 2026-10-14
- RECmd batch file Kroll_Batch.reb (key descriptions) Eric Zimmerman / Kroll (GitHub) · erişim 2026-10-14
- Windows NT Registry File (REGF) format libyal / libregf (J. Metz) · erişim 2026-10-14