【一图看懂】Windows预读文件（Prefetch）介绍与分析 | 介质篇4

在电子数据取证领域对痕迹的提取与分析是一项非常重要的工作通过对运行痕迹的提取可以分析出用户的行为特征对计算机取证具有重要意义。Prefetch简称PF是“预存取预读”的意思。Prefetch技术本身是Windows特有的加速应用程序运行的机制却无意中成为记录程序执行历史的强大证据源。即使恶意软件或被用于销毁证据的程序如CCleaner已被删除其对应的Prefetch文件仍可能留存成为指证其存在过的关键证据。