01Konum
- NTUSER.DAT: Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU
- NTUSER.DAT: Software\Microsoft\Windows\CurrentVersion\Explorer\TypedPaths
02Yanıtladığı sorular
- Kullanıcı Çalıştır iletişim kutusuna hangi komut, program veya UNC yollarını yazdı?
- Explorer adres çubuğuna hangi yerel veya ağ yolları yazıldı?
- Çalıştır komutları hangi sırayla girildi?
03Biçim ve sürümler
| Biçim | RunMRU: MRUList değeri (UTF-16LE karakterler, ilk karakter = en yeni) ve UTF-16LE dizeler içeren harfli değerler (a, b, c…). TypedPaths: url1, url2, … adlı REG_SZ değerler. |
|---|---|
| Geçerli olduğu sürümler | winreg-kb RunMRU'yu NT4, 2000, XP ve Vista için belgeler, TypedPaths için sürüm sınırı vermez; RECmd'nin Kroll toplu dosyası iki anahtarı da hedefler. |
04Temel alanlar
| Alan | Ne anlatır |
|---|---|
| MRUList (RunMRU) | Değer harflerinden oluşan dize; ilk harf en yeni girdidir. |
| a, b, c… (RunMRU) | Yazılan komut dizeleri. |
| url1, url2… (TypedPaths) | Explorer'a yazılan yollar. |
05Zaman damgaları
| Alan | Kodlama | Not |
|---|---|---|
| Key last written time | FILETIME (UTC) | Anahtarın bütününe yapılan son değişikliği yansıtır. |
Ham değerleri Zaman damgası çözücü, yerel saatleri ise Yerel saatten UTC'ye ile çözün.
06İnceleme akışı
- Her kullanıcı profili için iki anahtarı da ayrıştırın.
- RunMRU değerlerini MRUList ile sıralayın ve en yenisini anahtar zamanıyla ilişkilendirin.
- Yazılan komut ve yolları Prefetch, ShellBags ve ağ artefaktlarıyla doğrulayın.
07Yorum tuzakları
- Anahtarlar neyin yazıldığını gösterir; komutun başarılı olup olmadığını veya yolun erişilebilir olduğunu göstermez.
- Yalnızca anahtarın zaman damgası vardır; önceki girdiler yalnızca bu artefakttan tarihlendirilemez.
09Kaynaklar
- Most recently used (MRU) libyal / winreg-kb · erişim 2026-10-14
- Typed paths libyal / winreg-kb · erişim 2026-10-14
- RECmd batch file Kroll_Batch.reb (key descriptions) Eric Zimmerman / Kroll (GitHub) · erişim 2026-10-14