Windows 注册表取证 常用分析项
注册表主要单元：
SYSTEM：对应的注册表分支为HKEY_LOCAL_MACHINE\SYSTEM，对应的存储文件是\Windows\System32\config\SYSTEM，其作用是存储计算机硬件和系统的信息。
NTUSER.DAT：对应的注册表分支是HKEY_CURRENT_USER，存储在用户目录下，与其他注册表文件是分开的，主要用于存储用户的配置信息。
SAM：分支是HKEY_LOCAL_MACHINE\SAM，存储在C:\Windows\System32\config\SAM文件中，保存了用户的密码信息。
SECURITY：对应的分支HKEY_LOCAL_MACHINE\SECURITY，存储在C:\Windows\System32\config\SECURITY文件中，保存了安全性设置信息。
SOFTWARE：分支是HKEY_LOCAL_MACHINE\SOFTWARE，文件存储在C:\Windows\System32\config\SOFTWARE中，保存安装软件的信息。
系统基本信息
操作系统安装时间
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion 的 InstallDate子键
关机时间
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Windows 的 ShutdownTime键值，以64位Windows/FILETIME时间格式保存。
计算机名称
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\ComputerName\ComputerName 的 ComputerName
本地用户
HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names
最后登录的用户
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Authentication\LogonUI
当前登录用户
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Authentication\LogonUI\SessionData\1
卷标名称
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Portable Devices\Devices
安装的程序
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths
卸载的程序
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall
最近使用的文件
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSavePidlMRU
最近运行的命令行
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU
网络信息
连接过的网络
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Profiles
IE 输入过的链接
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\TypedURLs
IP 地址等信息
HKEY_LOCAL_MACHINE\System\Services\CurrentControlSet\services\Tcpip\Parameters\Interfaces
实测Windows 10可用：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\
在Autopsy里面也是可以的，在SYSTEM下ControlSet001里面，可以翻到：
用户痕迹
启动项
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
这里面的 RunOnce 也要注意，也可能被用来启动木马，维持状态。
在 Services 下：2=自动启动；3=手动启动；4=禁用
另外在 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run 中，可能有对特定用户登陆时设置的启动项。
USB 存储设备使用记录
\HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\USBSTOR\
https://www.doc88.com/p-9107655008710.html?r=1
挂载过的设备
HKEY_LOCAL_MACHINE\SYSTEM\MountedDevices
最近使用（Recent）
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs
我这里是因为关闭了最近使用的记录，所以没有显示。
同一级下还有其他信息，比如用户对快捷访问文件夹的定义：
可以看到用户壁纸记录（如果是在线的，那么也可以直接打开设置查看）：
以及安装信息：
\HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
使用 AutoPsy 等软件进行离线分析
系统基本信息
操作系统版本信息
SOFTWARE\Microsoft\Windows NT\CurrentVersion
系统时区信息
SYSTEM\ControlSet001\Control\TimeZoneInformation
网络信息
网络连接记录
SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Profiles\
以及 Signatures
TCP/IP 连接记录（分配IP等）
SYSTEM\(Control Sets)\services\Tcpip\Parameters\Interfaces
应用运行记录
System\ControlSet001\Control\Session Manager\AppCompatCache
Amcache
C:\Windows\appcompat\Programs\Amcache.hve