01Konum
- NTUSER.DAT: Software\Microsoft\Windows\Shell\BagMRU and \Bags
- NTUSER.DAT: Software\Microsoft\Windows\ShellNoRoam\BagMRU
- UsrClass.dat (Vista+): Local Settings\Software\Microsoft\Windows\Shell\BagMRU and \Bags
- UsrClass.dat (Vista+): Wow6432Node\Local Settings\Software\Microsoft\Windows\Shell\BagMRU
- C:\Users\<user>\AppData\Local\Microsoft\Windows\UsrClass.dat
02Yanıtladığı sorular
- Kullanıcı Explorer'da hangi klasörleri (yerel, çıkarılabilir, ağ, arşiv) açtı?
- Sistemde artık bulunmayan bir klasör var mıydı?
- Öğe kaydedildiğinde klasörün oluşturma, değiştirme ve son erişim zamanları neydi?
- Bir ShellBag anahtarı hangi zaman aralığında değişti?
03Biçim ve sürümler
| Biçim | BagMRU alt anahtarları klasör yapısına benzer bir hiyerarşi oluşturur. Numaralı REG_BINARY değerler shell item (IDList) içerir ve MRUListEx ile sıralanır (4 baytlık little-endian dizinler, en yenisi önce); NodeSlot, Bags\<n>\Shell görünüm ayarlarına bağlanır. Dosya girdisi shell item'ları FAT tarih/saat değerleri taşır; 0xbeef0004 uzantı bloğu oluşturma ve son erişim FAT zamanlarını, uzun adı ve uzantı sürümü 7'den itibaren NTFS dosya referansını ekler. |
|---|---|
| Geçerli olduğu sürümler | Windows XP ve sonrası; Windows Vista'dan itibaren ek UsrClass.dat konumları. Uzantı bloğu sürümü 3 = XP/2003, 7 = Vista, 8 = 2008/7/8.0, 9 = 8.1/10. |
04Temel alanlar
| Alan | Ne anlatır |
|---|---|
| BagMRU numbered value | Bir yol bileşenini (klasör, sürücü, ağ konumu vb.) tanımlayan shell item. |
| MRUListEx | Numaralı değerlerin sırası; en yenisi önce. |
| NodeSlot | İlgili Bags\<n> alt anahtarına bağlanan bag numarası. |
| File entry shell item | Dosya boyutu, son değiştirme FAT zamanı, öznitelik bayraklarının alt 16 biti, birincil (çoğunlukla kısa) ad. |
| Extension block 0xbeef0004 | Oluşturma ve son erişim FAT zamanları, uzun ad, yerelleştirilmiş ad ve (v7+) NTFS dosya referansı. |
| Bags\<n>\Shell | Mode, Sort, FolderType ve pencere konumları gibi görünüm ayarları. |
05Zaman damgaları
| Alan | Kodlama | Not |
|---|---|---|
| Shell item last modification time | FAT date/time (UTC) | Shell item ile yakalanan klasör üst verisi; libfwsi bu değerlerin her zaman ayarlanmadığını belirtir. |
| 0xbeef0004 creation / last access | FAT date/time (UTC) | Windows XP ve sonrasında yazılan uzantı bloklarında bulunur. |
| BagMRU key last written time | FILETIME (UTC) | Yalnızca anahtar içeriği değiştiğinde değişir; aynı verinin yeniden yazılması zamanı değiştirmeyebilir. |
Ham değerleri Zaman damgası çözücü, yerel saatleri ise Yerel saatten UTC'ye ile çözün.
06İnceleme akışı
- Her profil için NTUSER.DAT ve UsrClass.dat dosyalarını işlem günlükleriyle birlikte toplayın.
- BagMRU ağacını özyinelemeli olarak gezin ve kökten başlayarak shell item'ları birleştirip tam yolları oluşturun.
- Shell item türlerini ve uzantı bloklarını çözün; $MFT ile karşılaştırmak için NTFS dosya referanslarını kaydedin.
- MRUListEx sırasını ve anahtar son yazma zamanlarını sınır olarak kullanın; ardından LNK dosyaları, Jump List'ler ve USB geçmişiyle doğrulayın.
07Yorum tuzakları
- Girdiler yalnızca Windows Explorer'da en az bir kez açılıp kapatılmış klasörler için bulunur.
- Klasör silindikten sonra girdiler kalır; aynı ad ve yolla oluşturulan yeni bir klasör önceki klasörün MRU anahtarını devralabilir.
- Shell item biçimleri Microsoft tarafından belgelenmemiştir ve Windows sürümleri arasında farklılık gösterir.
09Kaynaklar
- Most recently used (MRU) libyal / winreg-kb · erişim 2026-10-14
- Windows Shell Item format libyal / libfwsi (J. Metz) · erişim 2026-10-14
- Using shellbag information to reconstruct user activities, Digital Investigation 6 (2009) S69–S77 Y. Zhu, P. Gladyshev, J. James — DFRWS 2009 · erişim 2026-10-14
- Windows NT Registry File (REGF) format libyal / libregf (J. Metz) · erişim 2026-10-14