Was ist das PF-Dateiformat?
Eine .pf-Datei ist eine Windows Prefetch-Cache-Datei - ein proprietärer binärer Datensatz, den die Windows Prefetcher-Komponente generiert, um das Laden von Programmen zu beschleunigen. .pf-Dateien werden automatisch vom Betriebssystem erstellt und im Ordner C:\Windows\Prefetch gespeichert. Jede Datei ist nach dem Schema NAME-XXXXXXXX.pf benannt, wobei das achtstellige Hex-Suffix ein Hash ist, der aus dem vollständigen Pfad der ausführbaren Datei abgeleitet wird. Sowohl Windows-Systemdienste als auch vom Benutzer geöffnete Anwendungen erzeugen .pf-Dateien.
.pf-Dateien beschleunigen den Ladevorgang von Anwendungen, für die sie erstellt wurden, erheblich. Der Prefetch-Ordner und sein Inhalt sind daher Teil der Windows-Systemoptimierungstechnologie. Jede .pf-Datei zeichnet die DLLs und Ressourcen auf, die das Programm in den ersten Sekunden seiner Ausführung geladen hat, sodass Windows diese Assets beim nächsten Start vorab laden kann. Ab Windows 8.1 werden .pf-Dateien in MAM-komprimierter Form (LZXPRESS Huffman-Kodierung) gespeichert, um Platz zu sparen. Windows überschreibt die ältesten .pf-Dateien methodisch, um den Ordner innerhalb seines Limits zu halten - 128 Einträge bei älteren Versionen und 1.024 bei Windows 10 und neuer.
Das Ausführen von Aufgaben in einer Windows-Umgebung führt dazu, dass der Prefetch-Ordner an Größe zunimmt und manchmal hunderte Megabyte erreicht. Ein großer Prefetch-Ordner ist kein Zeichen für ein falsch konfiguriertes System - im Gegenteil: Er zeigt an, dass das System gut für das Laden von Anwendungen optimiert ist. .pf-Dateien können innerhalb von Windows gelöscht werden, es wird jedoch davon abgeraten, da Windows sie von Grund auf neu erstellen muss und sich die Startzeiten von Anwendungen vorübergehend verlangsamen. Digitale Forensiker schätzen .pf-Dateien sehr: Ab Windows 8 protokolliert jede Datei bis zu acht Zeitstempel und eine kumulative Anzahl der Ausführungen, was .pf zu einem primären Artefakt macht, um zu beweisen, welche Programme wann und wie oft liefen.
Die Konfiguration der Prefetch-Funktion kann durch Bearbeiten der Registry-Einstellungen unter HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management\PrefetchParameters geändert werden. Einige Anwendungen akzeptieren auch das Befehlszeilenargument /prefetch:<Nummer>, um ihre eigene Prefetch-Identität zu steuern.
Sicherheit
RISIKO: LOW.pf-Dateien sind inerte Metadaten; sie werden nicht ausgeführt. Das Löschen ist sicher, aber meist sinnlos - Windows baut sie neu auf, und der nächste Start jeder App ist kurzzeitig langsamer. Das eigentliche Bedenken betrifft Datenschutz/Forensik: Da .pf aufzeichnet, was wann lief, löschen „Anti-Forensik”-Tools den Prefetch, und dessen Fehlen auf einem normal konfigurierten System kann selbst ein Warnsignal sein. Malware, die so benannt ist, dass sie Systemdateien nachahmt, hinterlässt dennoch eine .pf-Datei, die ihre Ausführung beweist.
Formatdetails
kurz gefasstProgramme zum Öffnen von PF-Dateien
Windows3 apps
WinPrefetchView (NirSoft)
Kostenlos Öffnen Sie die .pf, um die ausführbare Datei, die Anzahl der Ausführungen, die letzten Startzeiten und die referenzierten Dateien anzuzeigen.
PECmd (Eric Zimmerman)
Kostenlos Befehlszeile: PECmd.exe -f file.pf (oder -d für den Prefetch-Ordner), um alle Metadaten, einschließlich MAM-komprimierter Win10/11-Dateien, in CSV zu parsen.
Windows (the OS itself)
Integriert Keine Aktion erforderlich - Windows erstellt, liest und verwaltet .pf-Dateien automatisch, um App-Starts zu beschleunigen. Technische Details
technische Spezifikation| Format-Typ | Proprietäre binäre Cache-Datei; SCCA-Format (SuperFetch Cache Common Architecture) |
| Magic Bytes | SCCA bei Byte-Offset 4 (unkomprimiert); MAM\x04 bei Offset 0 (MAM-komprimiert, Windows 8.1+) |
| Byte-Reihenfolge | Little-endian |
| Kodierung | Binär |
| Kompression | Keine unter Windows XP bis 8; LZXPRESS Huffman (MAM-Wrapper) ab Windows 8.1 |
| Format-Versionen | v17 (0x11) XP/2003; v23 (0x17) Vista/7; v26 (0x1A) Windows 8; v30 (0x1E) Windows 10; v31 (0x1F) Windows 11 |
| Dateinamenskonvention | NAME-XXXXXXXX.pf - 8-stelliger Hex-Hash des vollständigen Pfads der ausführbaren Datei, angehängt an den Programmnamen |
| Standard-Speicherpfad | C:\Windows\Prefetch\ |
| Typische Dateigröße | 5 KB - 250 KB pro ausführbarer Datei |
| Limit für Ordnereinträge | 128 Dateien (Windows XP - 8); 1.024 Dateien (Windows 10 und neuer) |
| Aufzeichnung der Laufzeit | 1 Zeitstempel der letzten Ausführung (XP/Vista/7); bis zu 8 Zeitstempel plus Ausführungszähler (Windows 8 und neuer) |
| Startup-Trace-Tiefe | Zeichnet Dateipfade, DLLs und Ressourcen auf, die innerhalb der ersten ~10 Sekunden der Ausführung geladen wurden |
| Ersteller | Windows OS - Prefetcher-Komponente des Memory Managers; wird nicht von Benutzeranwendungen erstellt |
| Forensische Relevanz | Primäres Artefakt der digitalen Forensik für den Ausführungsbeweis: beweist, dass ein Programm lief, wie oft und die letzten acht Ausführungszeiten |
| Veröffentlicht | Windows XP (2001) |
| Neueste Version | Format version 30/31 (Windows 10/11); MAM-compressed since Windows 8 (2012) |
| Spezifikation | www.forensicswiki.org |
PF-Konvertierungen
Community Q&A
von Nutzern gefragtNoch keine Fragen - stellen Sie die erste Frage zu PF-Dateien.
