Hva er PF-filformatet?
En .pf-fil er en Windows Prefetch-bufferfil - en proprietær binær oppføring som Windows Prefetcher-komponenten genererer for å øke hastigheten på programlasting. .pf-filer opprettes automatisk av operativsystemet og lagres i mappen C:\Windows\Prefetch. Hver fil har navnet NAVN-XXXXXXXX.pf, der det åtte tegn lange heksadesimale suffikset er en hash utledet fra den kjørbare filens fullstendige bane. Både Windows-systemtjenester og applikasjoner åpnet av brukeren genererer .pf-filer.
.pf-filer øker hastigheten på lastingsprosessen for applikasjonene de er opprettet for betydelig. Prefetch-mappen og innholdet i den er derfor en del av Windows sin teknologi for systemoptimalisering. Hver .pf-fil registrerer DLL-er og ressurser programmet lastet i løpet av de første sekundene av kjøringen, slik at Windows kan forhåndslaste disse ressursene ved neste oppstart. På Windows 8.1 og nyere lagres .pf-filer i MAM-komprimert form (LZXPRESS Huffman-koding) for å spare plass. Windows overskriver de eldste .pf-filene metodisk for å holde mappen innenfor grensen - 128 oppføringer på eldre utgivelser og 1 024 på Windows 10 og nyere.
Utføring av oppgaver i et Windows-miljø vil føre til at Prefetch-mappen vokser i størrelse, og noen ganger når den hundrevis av megabyte. En stor Prefetch-mappe er ikke et tegn på et feilkonfigurert system - snarere tvært imot: det indikerer at systemet er godt optimalisert for lasting av applikasjoner. .pf-filer kan slettes fra Windows, men det anbefales ikke å gjøre det, da Windows må bygge dem opp fra bunnen av, og oppstartstiden for applikasjoner vil midlertidig bli tregere. Digitale etterforskere verdsetter .pf-filer høyt: på Windows 8 og nyere logger hver fil opptil åtte tidsstempler og et kumulativt antall kjøringer, noe som gjør .pf til en primær gjenstand for å bevise hvilke programmer som kjørte, når og hvor ofte.
Konfigurasjon av Prefetch-funksjonen kan endres ved å redigere registerinnstillinger under HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management\PrefetchParameters. Enkelte applikasjoner godtar også et /prefetch:<nummer> kommandolinjeargument for å kontrollere sin egen prefetch-identitet.
Sikkerhet og trygghet
RISIKO: LOW.pf-filer er inerte metadata; de kan ikke kjøres. Det er trygt å slette dem, men vanligvis meningsløst - Windows bygger dem opp på nytt, og neste oppstart av hver app blir kortvarig tregere. Den reelle bekymringen er personvern/etterforskning: fordi .pf registrerer hva som kjørte og når, sletter «anti-forensiske» verktøy Prefetch, og fraværet av dette på et normalt konfigurert system kan i seg selv være et varselsignal. Skadevare som er navngitt for å etterligne systemfiler vil fortsatt etterlate en .pf som beviser at den ble kjørt.
Formatdetaljer
i et nøtteskallProgrammer som åpner PF-filer
Windows3 apps
WinPrefetchView (NirSoft)
Gratis Åpne .pf for å se den kjørbare filen, antall kjøringer, siste kjøretidspunkter og refererte filer.
PECmd (Eric Zimmerman)
Gratis Kommandolinje: PECmd.exe -f file.pf (eller -d på Prefetch-mappen) for å parse alle metadata, inkludert MAM-komprimerte Win10/11-filer, til CSV.
Windows (the OS itself)
Innebygd Ingen handling nødvendig - Windows oppretter, leser og vedlikeholder .pf-filer automatisk for å øke hastigheten på app-oppstarter. Tekniske detaljer
dyp spesifikasjon| Format-type | Proprietær binær bufferfil; SCCA (SuperFetch Cache Common Architecture) format |
| Magic bytes | SCCA ved byte-offset 4 (ukomprimert); MAM\x04 ved offset 0 (MAM-komprimert, Windows 8.1+) |
| Byterekkefølge | Little-endian |
| Koding | Binær |
| Komprimering | Ingen på Windows XP til og med 8; LZXPRESS Huffman (MAM-innpakning) på Windows 8.1 og nyere |
| Formatversjoner | v17 (0x11) XP/2003; v23 (0x17) Vista/7; v26 (0x1A) Windows 8; v30 (0x1E) Windows 10; v31 (0x1F) Windows 11 |
| Navnekonvensjon for filer | NAVN-XXXXXXXX.pf - 8-tegns heksadesimal hash av den kjørbare filens fullstendige bane lagt til programnavnet |
| Standard lagringsbane | C:\Windows\Prefetch\ |
| Typisk filstørrelse | 5 KB - 250 KB per kjørbar fil |
| Grense for mappeoppføringer | 128 filer (Windows XP - 8); 1 024 filer (Windows 10 og nyere) |
| Registrering av kjøretid | 1 tidsstempel for siste kjøring (XP/Vista/7); opptil 8 tidsstempler pluss antall kjøringer (Windows 8 og nyere) |
| Dybde på oppstartssporing | Registrerer filbaner, DLL-er og ressurser lastet i løpet av de første ~10 sekundene av kjøringen |
| Oppretter | Windows OS - Prefetcher-komponenten i Memory Manager; opprettes ikke av brukerapplikasjoner |
| Etterforskningsmessig relevans | Primær digital etterforskingsgjenstand for bevis på kjøring: beviser at et program kjørte, hvor mange ganger, og de siste åtte kjøretidspunktene |
| Utgitt | Windows XP (2001) |
| Siste versjon | Format version 30/31 (Windows 10/11); MAM-compressed since Windows 8 (2012) |
| Spesifikasjon | www.forensicswiki.org |
PF-konverteringer
Spørsmål og svar fra fellesskapet
spurt av brukereIngen spørsmål ennå - vær den første til å spørre om PF-filer.
