Hvad er PF-filformatet?
En .pf-fil er en Windows Prefetch-cachefil - en proprietær binær post, som Windows Prefetcher-komponenten genererer for at fremskynde indlæsning af programmer. .pf-filer oprettes automatisk af operativsystemet og gemmes i mappen C:\Windows\Prefetch. Hver fil er navngivet NAVN-XXXXXXXX.pf, hvor det otte-tegns hex-suffiks er en hash afledt af eksekverbare fils fulde sti. Både Windows-systemtjenester og applikationer åbnet af brugeren genererer .pf-filer.
.pf-filer fremskynder indlæsningsprocessen betydeligt for de applikationer, de er oprettet til. Prefetch-mappen og dens indhold er derfor en del af Windows-systemets optimeringsteknologi. Hver .pf-fil registrerer de DLL'er og ressourcer, programmet indlæste i løbet af de første sekunder af dets eksekvering, så Windows kan forudindlæse disse aktiver ved næste opstart. På Windows 8.1 og nyere gemmes .pf-filer i MAM-komprimeret form (LZXPRESS Huffman-kodning) for at spare plads. Windows overskriver metodisk de ældste .pf-filer for at holde mappen inden for dens grænse - 128 poster på ældre udgivelser og 1.024 på Windows 10 og nyere.
Udførelse af opgaver i et Windows-miljø vil resultere i, at Prefetch-mappen vokser i størrelse og nogle gange når op på hundredvis af megabyte. En stor Prefetch-mappe er ikke et tegn på et forkert konfigureret system - tværtimod: det indikerer, at systemet er veloptimeret til indlæsning af applikationer. .pf-filer kan slettes inde fra Windows, men det frarådes, da Windows skal genopbygge dem fra bunden, og applikationers opstartstider vil midlertidigt blive langsommere. Digitale efterforskere værdsætter .pf-filer højt: på Windows 8 og nyere logger hver fil op til otte tidsstempler og et kumulativt antal kørsler, hvilket gør .pf til en primær artefakt til at bevise, hvilke programmer der kørte, hvornår og hvor ofte.
Konfiguration af Prefetch-funktionen kan ændres ved at redigere registreringsindstillinger under HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management\PrefetchParameters. Nogle applikationer accepterer også et /prefetch:<nummer> kommandolinjeargument for at kontrollere deres egen prefetch-identitet.
Sikkerhed og tryghed
RISIKO: LOW.pf-filer er inerte metadata; de eksekveres ikke. Det er sikkert at slette dem, men normalt formålsløst - Windows genopbygger dem, og den næste opstart af hver app vil kortvarigt være langsommere. Den reelle bekymring er privatliv/efterforskning: Da .pf registrerer, hvad der kørte og hvornår, sletter «anti-forensiske» værktøjer Prefetch, og dets fravær på et normalt konfigureret system kan i sig selv være et advarselssignal. Malware navngivet til at efterligne systemfiler efterlader stadig en .pf, der beviser, at den blev eksekveret.
Formatdetaljer
kort fortaltProgrammer der åbner PF-filer
Windows3 apps
WinPrefetchView (NirSoft)
Gratis Åbn .pf-filen for at se den eksekverbare fil, antal kørsler, sidste køretidspunkter og refererede filer.
PECmd (Eric Zimmerman)
Gratis Kommandolinje: PECmd.exe -f file.pf (eller -d på Prefetch-mappen) for at parse alle metadata, inklusive MAM-komprimerede Win10/11-filer, til CSV.
Windows (the OS itself)
Indbygget Ingen handling nødvendig - Windows opretter, læser og vedligeholder automatisk .pf-filer for at fremskynde opstart af apps. Tekniske detaljer
dyb specifikation| Formattype | Proprietær binær cachefil; SCCA (SuperFetch Cache Common Architecture) format |
| Magic bytes | SCCA ved byte-offset 4 (ukomprimeret); MAM\x04 ved offset 0 (MAM-komprimeret, Windows 8.1+) |
| Byte-rækkefølge | Little-endian |
| Kodning | Binær |
| Komprimering | Ingen på Windows XP til 8; LZXPRESS Huffman (MAM-wrapper) på Windows 8.1 og nyere |
| Formatversioner | v17 (0x11) XP/2003; v23 (0x17) Vista/7; v26 (0x1A) Windows 8; v30 (0x1E) Windows 10; v31 (0x1F) Windows 11 |
| Navngivningskonvention | NAVN-XXXXXXXX.pf - 8-tegns hex-hash af den eksekverbare fils fulde sti tilføjet til programnavnet |
| Standard lagringssti | C:\Windows\Prefetch\ |
| Typisk filstørrelse | 5 KB - 250 KB pr. eksekverbar fil |
| Grænse for mappeposter | 128 filer (Windows XP - 8); 1.024 filer (Windows 10 og nyere) |
| Registrering af køretid | 1 tidsstempel for sidste kørsel (XP/Vista/7); op til 8 tidsstempler plus antal kørsler (Windows 8 og nyere) |
| Dybde af opstartssporing | Registrerer filstier, DLL'er og ressourcer indlæst inden for de første ~10 sekunder af eksekvering |
| Skaber | Windows OS - Prefetcher-komponenten i Memory Manager; oprettes ikke af brugerapplikationer |
| Forensisk relevans | Primær digital efterforskningsartefakt for bevis for eksekvering: beviser at et program kørte, hvor mange gange, og dets sidste otte køretidspunkter |
| Udgivet | Windows XP (2001) |
| Seneste version | Format version 30/31 (Windows 10/11); MAM-compressed since Windows 8 (2012) |
| Specifikation | www.forensicswiki.org |
PF-konverteringer
Fællesskabets Q&A
spurgt af brugereIngen spørgsmål endnu - vær den første til at spørge om PF-filer.
