本地信息收集 补充
作者:互联网
一、最近访问的文件
//查看最近访问的文件
dir c:\users\%username%\appdata\roaming\microsoft\windows\recent\*.lnk
//查看最近访问的office文件
dir c:\users\%username%\appdata\roaming\microsoft\office\recent\*.lnk
//查看快捷启动
dir "c:\users\%username%\appdata\roaming\microsoft\Internet Explorer\Quick Launch\*.lnk"
dir "c:\users\%username%\appdata\roaming\microsoft\Internet Explorer\Quick Launch\*.lnk" /s
//查看开始菜单
dir "c:\users\%username%\appdata\roaming\microsoft\Windows\Start Menu\*.lnk"
dir "c:\users\%username%\appdata\roaming\microsoft\Windows\Start Menu\*.lnk" /s
//查看桌面快捷方式
dir "c:\users\%username%\desktop\*.lnk"
Notepad++相关
//Notepad++最近打开的文件
c:\users\%username%\appdata\roaming\notepad++\config.xml
//Notepad++正在打开的文件
c:\users\%username%\appdata\roaming\notepad++\session.xml
//Notepad++备份的文件
c:\users\%username%\appdata\roaming\notepad++\backup\*
二、删除的文件
查看回收站目录
其中$I开头的文件保存的是路径信息,$R保存的是文件
//cmd
for /f "skip=1 tokens=1,2 delims= " %c in ('wmic useraccount get name^,sid') do @for /f %i in ('dir /a /b C:\$Recycle.Bin\%d\ 2^>^&0 ^| findstr /v \-') do @echo %c:C:\$Recycle.Bin\%d\%i
Powershell命令结果则要更全一些
//powershell
$Recycler = (New-Object -ComObject Shell.Application).NameSpace(0xa);
foreach($file in $Recycler.items()){$file.path;$file.ExtendedProperty("{9B174B33-40FF-11D2-A27E-00C04FC30871} 2")+'\'+$file.name;$file.Type}
三、寻找特定文件
- 文件位置:桌面、网络共享、所有磁盘
- 密码关键词:password、passwd、pwd、server list
- 网络拓扑:Diagram、.vsd、network、intranet、topology、topologies
- 特定后缀:kdbx、ovpn、vsd、vsdx、xls、xlsx等
四、根据内容搜索文件
dir、tree、findstr命令
dir /s c:\users\test\desktop\*pwd*
等
标签:users,收集,补充,appdata,lnk,username%,本地,roaming,dir 来源: https://blog.csdn.net/prettyX/article/details/118878919