Vad är filformatet PF?
En .pf-fil är en Windows Prefetch-cachefil - en proprietär binär post som Windows Prefetcher-komponenten genererar för att påskynda programladdning. .pf-filer skapas automatiskt av operativsystemet och lagras i mappen C:\Windows\Prefetch. Varje fil namnges NAMN-XXXXXXXX.pf, där det åttasiffriga hex-suffixet är en hash baserad på körfilens fullständiga sökväg. Både Windows-systemtjänster och applikationer som öppnas av användaren genererar .pf-filer.
.pf-filer påskyndar laddningsprocessen avsevärt för de applikationer de skapats för. Prefetch-mappen och dess innehåll är därför en del av Windows systemoptimeringsteknik. Varje .pf-fil registrerar de DLL-filer och resurser som programmet laddade under sina första sekunder av exekvering, så att Windows kan förladda dessa tillgångar vid nästa start. På Windows 8.1 och senare lagras .pf-filer i MAM-komprimerad form (LZXPRESS Huffman-kodning) för att spara utrymme. Windows skriver metodiskt över de äldsta .pf-filerna för att hålla mappen inom dess gräns - 128 poster på äldre versioner och 1 024 på Windows 10 och senare.
Att utföra uppgifter i en Windows-miljö kommer att resultera i att Prefetch-mappen växer i storlek, och ibland når hundratals megabyte. En stor Prefetch-mapp är inte ett tecken på ett felaktigt konfigurerat system - tvärtom: det indikerar att systemet är väloptimerat för programladdning. .pf-filer kan raderas inifrån Windows, men det rekommenderas inte, eftersom Windows då måste bygga upp dem från grunden och programstarttiderna tillfälligt kommer att sakta ner. Digitala forensiker värderar .pf-filer högt: på Windows 8 och senare loggar varje fil upp till åtta tidsstämplar och ett kumulativt antal körningar, vilket gör .pf till en primär artefakt för att bevisa vilka program som körts, när och hur ofta.
Konfigurationen av Prefetch-funktionen kan ändras genom att redigera registerinställningar under HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management\PrefetchParameters. Vissa applikationer accepterar även ett /prefetch:<nummer> kommandoradsargument för att kontrollera sin egen prefetch-identitet.
Säkerhet & trygghet
RISK: LOW.pf-filer är inerta metadata; de exekveras inte. Att radera dem är säkert men vanligtvis meningslöst - Windows bygger upp dem igen och nästa start av varje app blir tillfälligt långsammare. Den verkliga oron rör integritet/forensik: eftersom .pf registrerar vad som körts och när, raderar «anti-forensiska» verktyg Prefetch, och dess frånvaro på ett normalt konfigurerat system kan i sig vara en varningsflagga. Skadlig kod som namngivits för att efterlikna systemfiler lämnar fortfarande en .pf som bevisar att den exekverats.
Formatdetaljer
i ett nötskalProgram som öppnar PF-filer
Windows3 apps
WinPrefetchView (NirSoft)
Gratis Öppna .pf för att se körfilen, antal körningar, senaste körtider och refererade filer.
PECmd (Eric Zimmerman)
Gratis Kommandorad: PECmd.exe -f file.pf (eller -d på Prefetch-mappen) för att parsa all metadata, inklusive MAM-komprimerade Win10/11-filer, till CSV.
Windows (the OS itself)
Inbyggd Ingen åtgärd behövs - Windows skapar, läser och underhåller .pf-filer automatiskt för att påskynda programstarter. Tekniska detaljer
djup specifikation| Formattyp | Proprietär binär cachefil; SCCA-format (SuperFetch Cache Common Architecture) |
| Magic bytes | SCCA vid byte-offset 4 (okomprimerad); MAM\x04 vid offset 0 (MAM-komprimerad, Windows 8.1+) |
| Byteordning | Little-endian |
| Kodning | Binär |
| Komprimering | Ingen på Windows XP till 8; LZXPRESS Huffman (MAM-wrapper) på Windows 8.1 och senare |
| Formatversioner | v17 (0x11) XP/2003; v23 (0x17) Vista/7; v26 (0x1A) Windows 8; v30 (0x1E) Windows 10; v31 (0x1F) Windows 11 |
| Namnkonvention | NAMN-XXXXXXXX.pf - 8-teckens hex-hash av körfilens fullständiga sökväg bifogad till programnamnet |
| Standardlagringsplats | C:\Windows\Prefetch\ |
| Typisk filstorlek | 5 KB - 250 KB per körfil |
| Gräns för mapposter | 128 filer (Windows XP - 8); 1 024 filer (Windows 10 och senare) |
| Registrering av körtid | 1 tidsstämpel för senaste körning (XP/Vista/7); upp till 8 tidsstämplar plus antal körningar (Windows 8 och senare) |
| Djup för uppstartsspårning | Registrerar filsökvägar, DLL-filer och resurser som laddats inom de första ~10 sekunderna av exekvering |
| Skapare | Windows OS - Prefetcher-komponenten i Memory Manager; skapas inte av användarapplikationer |
| Forensisk relevans | Primär digital forensisk artefakt för bevis på exekvering: bevisar att ett program körts, hur många gånger och dess åtta senaste körtider |
| Släppt | Windows XP (2001) |
| Senaste version | Format version 30/31 (Windows 10/11); MAM-compressed since Windows 8 (2012) |
| Specifikation | www.forensicswiki.org |
PF-konverteringar
Frågor & svar
frågat av användareInga frågor än - bli den första att fråga om PF-filer.
