01Konum
- SYSTEM hive: ControlSet00n\Control\Session Manager\AppCompatCache (value AppCompatCache)
- SYSTEM hive: ControlSet00n\Control\Session Manager\AppCompatibility (Windows 2000 and XP)
02Yanıtladığı sorular
- Bu yoldaki bir dosya, sonradan silinmiş olanlar dahil, uyumluluk alt sistemince biliniyor muydu?
- Dosya önbelleğe alındığında son değiştirme zamanı neydi?
- Vista/7'de bir girdi için çalıştırmayla ilişkili ekleme bayrağı ayarlı mı?
- Önbellek sırasında bilinen kötü amaçlı bir girdinin yanında hangi girdiler var?
03Biçim ve sürümler
| Biçim | Sürüme özgü başlık ve girdiler içeren REG_BINARY veri. Windows 7: 128 baytlık başlık, imza baytları ee 0f dc ba. Windows 8.0/8.1: '00ts'/'10ts' imzalı girdiler. Windows 10: 48 baytlık başlık (Creators Update'ten itibaren 52 bayt) ve '10ts' girdileri. Yollar UTF-16LE, zamanlar FILETIME'dır. |
|---|---|
| Geçerli olduğu sürümler | Windows XP'den Windows 11'e kadar; winreg-kb Windows 2003'te en fazla 512, Vista/7'de 1024 girdi olduğunu belirtir. |
04Temel alanlar
| Alan | Ne anlatır |
|---|---|
| Path | Önbelleğe alınan dosyanın UTF-16LE yolu. |
| Last modification time | NTFS'te $STANDARD_INFORMATION içinde saklanan son değiştirme zamanı. |
| File size | Windows XP ve 2003 girdilerinde bulunur. |
| Insertion flags (Vista/7) | 0x00000002 bayrağının işlem oluşturma sırasında CSRSS tarafından ayarlandığı gözlemlenmiştir; resmi anlamı belgelenmemiştir. |
| Entry data (Windows 10) | Bir girdinin son 4 baytı 1 ise girdinin çalıştırılmış olma olasılığı yüksektir (Cyber Triage). |
| Entry order | Girdiler en az kullanılan kuyruğu olarak yukarıdan aşağıya doldurulur; en yeniler en üsttedir. |
05Zaman damgaları
| Alan | Kodlama | Not |
|---|---|---|
| Last modification time | FILETIME (UTC) | Dosya içeriğinin son değiştirildiği zamandır; çalıştırma veya ekleme zamanı değildir. |
| Last update time (Windows XP 32-bit) | FILETIME (UTC) | Yalnızca XP 32 bit girdi biçiminde bulunan ikinci zaman değeri. |
| Key last written time | FILETIME (UTC) | Değer kayıt defterine düzgün yeniden başlatma veya kapatmada yazılır; anahtar zamanı bu yazmayı yansıtır. |
Ham değerleri Zaman damgası çözücü, yerel saatleri ise Yerel saatten UTC'ye ile çözün.
06İnceleme akışı
- İşlem günlüklerini uyguladıktan sonra SYSTEM kovanındaki her ControlSet00n'i ayrıştırın.
- Başlık boyutu ve imzalardan sürüme özgü yapıyı belirleyin.
- Girdi sırasını koruyun ve bilinen kötü amaçlı yolların çevresinde kümelenen girdileri inceleyin.
- Zaman damgalarını dosya değiştirme zamanı olarak ele alın; çalıştırmayı Prefetch, Amcache, BAM ve olay günlükleriyle doğrulayın.
07Yorum tuzakları
- Windows 10 ve sonrasında bir girdi çalıştırmayı kanıtlamaz; Vista, 7, 2008 ve 2012'de kullanıcının yalnızca gezindiği dizindeki dosyalar için girdi oluşabilir.
- Veri kayıt defterine yalnızca düzgün yeniden başlatma veya kapatmada yazılır; son açılıştan sonra eklenen girdiler edinilen kovanda bulunmayabilir.
- Önbellek döner: en eski girdilerin yerini yenileri alır.
- Ekleme ve shim bayrakları Microsoft tarafından belgelenmemiştir; yorumları araştırma gözlemlerine dayanır.
09Kaynaklar
- Application compatibility cache libyal / winreg-kb · erişim 2026-10-14
- Caching Out: The Value of Shimcache for Investigators (T. Parisi, 2015) Mandiant / Google Cloud Threat Intelligence · erişim 2026-10-14
- ShimCache and AmCache Forensic Analysis Cyber Triage (Sleuth Kit Labs) · erişim 2026-10-14
- RECmd batch file Kroll_Batch.reb (key descriptions) Eric Zimmerman / Kroll (GitHub) · erişim 2026-10-14
- AppCompatCacheParser README Eric Zimmerman (GitHub) · erişim 2026-10-14