01Konum
- NTUSER.DAT: Software\Microsoft\Windows\CurrentVersion\Explorer\WordWheelQuery (and sub-keys)
02Yanıtladığı sorular
- Kullanıcı Windows arama kutusunda hangi anahtar sözcükleri aradı?
- Aramalar hangi sırayla yapıldı?
- Arama terimleri ilgili dosya, klasör veya programlara erişimden önce mi geliyor?
03Biçim ve sürümler
| Biçim | Dize MRU anahtarı: dize sonu karakterli UTF-16LE dizeler içeren ve bir MRU liste değeriyle sıralanan değerler (winreg-kb WordWheelQuery'yi dize MRU anahtarları arasında sınıflandırır). |
|---|---|
| Geçerli olduğu sürümler | Kaynaklar Windows sürümlerini sınırlamaz; anahtarı bulunduğu her yerde toplayın. |
04Temel alanlar
| Alan | Ne anlatır |
|---|---|
| MRU list value | Saklanan arama terimlerinin sırası; en yenisi önce. |
| Numbered values | UTF-16LE dizeler olarak arama terimleri. |
| Sub-keys | Ek terim listeleri; özyinelemeli olarak toplanır. |
05Zaman damgaları
| Alan | Kodlama | Not |
|---|---|---|
| Key last written time | FILETIME (UTC) | Anahtara uygulanır; en iyi ihtimalle en son aramayı sınırlar. |
Ham değerleri Zaman damgası çözücü, yerel saatleri ise Yerel saatten UTC'ye ile çözün.
06İnceleme akışı
- Her profil için WordWheelQuery'yi ve alt anahtarlarını ayrıştırın.
- Terimleri MRU liste değeriyle sıralayın.
- Terimleri anahtar zamanı çevresindeki RecentDocs, LNK dosyaları, ShellBags ve Prefetch ile ilişkilendirin.
07Yorum tuzakları
- Bir arama terimi bir şey bulma niyetini gösterir; bir sonucun açıldığını göstermez.
- Tek tek terimlerin kendi zaman damgası yoktur.
09Kaynaklar
- Windows artifact definitions (windows.yaml) ForensicArtifacts / artifacts · erişim 2026-10-14
- Most recently used (MRU) libyal / winreg-kb · erişim 2026-10-14
- RECmd batch file Kroll_Batch.reb (key descriptions) Eric Zimmerman / Kroll (GitHub) · erişim 2026-10-14