Pages

Monday, 21 October 2013

Windows Prefetch (.PF) files

Thanks to Wayback machine (web.archive.org), I have been able to retrieve my old posts about Prefetch files from 42 LLC. You can find the original (slightly edited) post here now. It contains format information and the prefetch hash algorithm.

Windows 8 Prefetch files

Of late there has been some discussion about windows 8 prefetch files on forensicfocus.com and some mailing lists. Everybody seems to know about the change from recording a single Last Executed Time to the last 8 executed times. There is some confusion about the hashing algorithm. So I've revisited this artifact and here is what I found (for windows 8).

Windows 8 still uses the same prefetch hash calculation algorithm. A few offsets have changed but the structure of the pf file is still the same. The only change seems to be the addition of 7 new timestamps. This is because now the prefetch file stores the timestamp of the last 8 times the application was executed. My old enscript code has been updated to reflect this. Download here.

There is some extra data in the volume information block that still remains a mystery. Refer old post for the volume information block structure.

The new windows 8 prefetch file structure is as follows:
0x00 = 1A 00 00 00
0x04 = SCCA
0x08 = 11 00 00 00 
0x0C = 4 byte size of pf file itself
0x10 = 60 bytes of filename
0x4C = 4 bytes hash (same as in filename)
0x50-0x57 = unknown
0x58 = Number of Filepaths referenced
0x5C-0x63 = unknown
0x64 = Offset to Block containing Filepaths (DWORD)
0x68 = Length of Block containing Filepaths (DWORD)
0x6C = Offset to Volume Information Blocks (DWORD)
0x70 = Number of Volume Information Blocks present (DWORD)
0x74 = Size of all volume info blocks (DWORD)
0x78 = unknown
0x7C = unknown
0x80 = Program Last Execution Time (1) (FILETIME)
0x88 = Program Last Execution Time (2) (FILETIME)
0x90 = Program Last Execution Time (3) (FILETIME)
0x98 = Program Last Execution Time (4) (FILETIME)
0xA0 = Program Last Execution Time (5) (FILETIME)
0xA8 = Program Last Execution Time (6) (FILETIME)
0xB0 = Program Last Execution Time (7) (FILETIME)
0xB8 = Program Last Execution Time (8) (FILETIME)
0xC0-0xCF = unknown
0xD0 – Number of Executions (DWORD)

5 comments:

  1. Not sure if you're going to repost your old posts, if so can you update your links on:
    http://www.forensicswiki.org/wiki/Prefetch#External_Links

    I've moved one of them to:
    http://www.forensicswiki.org/wiki/Talk:Prefetch

    Thanks in advance.

    ReplyDelete
    Replies
    1. Sorry just saw you already did on http://www.swiftforensics.com/2010/04/the-windows-prefetchfile.html

      Delete
    2. dongtam
      mu moi ra hom nay
      tim phong tro
      http://nhatroso.com/
      nhạc sàn
      tổng đài tư vấn luật
      văn phòng luật hà nội
      tổng đài tư vấn luật
      thành lập công ty trọn gói
      http://we-cooking.com/
      chém gió
      trung tâm tiếng anhThú tộc cùng Hắc Ám Thần điện đã thương lượng rồi, linh châu trong tộc các ngươi lưu lại, Hắc Ám Thần điện chúng ta cùng Tứ đại Thú tộc đảm bảo cho các ngươi an toàn.

      Thanh Ma khặc khặc cười nhìn mọi người lạnh nhạt nói.

      - Hoàng Vũ, chúng ta cùng thần Phượng tộc thương lượng rồi, chỉ cần các ngươi không nhúng tay vào việc này, thần Phượng Hoàng tộc linh châu các ngươi chúng ta không có động đến, nếu ngươi cùng người tứ đại nhân tộc hoà hợp làm một, chúng ta cũng không khách khí, linh châu cũng giao cho thần Phượng tộc.

      Minh Vương âm lãnh nhìn Hoàng Vũ nói.

      - Hừ, Minh Vương, chuyện tình Thần hoàng tộc ta còn chưa tới phiên viễn cổ Minh Xà tộc các ngươi nhúng tay vào.

      Hoàng Vũ lạnh lùng trả lời.

      - Minh Vương, Hổ Du, Long Nhất các ngươi cùng Hắc Ám Thần điện đã sớm thương lượng rồi sao, chẳng lẽ các ngươi quên chuyện Tứ đại Thú tộc cùng tứ đại nhân tộc ước định sao?

      Nhạc Dao nhìn Minh Vương cùng Hổ Du, Long Nhất hỏi.

      - Ha ha, ước định cái gì, Nhạc Thiên cũng đã chết rồi, ước định cũng đã sớm hết hiệu lực, lúc

      Delete
  2. Great job, Yogesh...thanks for sharing.

    ReplyDelete

  3. sương sớm mới có thể bảo trì hiệu quả.

    Nhưng nước sương thu thập được rất chậm, cho nên từ khi tu luyện Hoàng

    Tuyền Thăng Khiếu Quyết, Vương Lâm rất ít tiến vào trong không gian mộng

    cảnh. Bất quá, hắn vẫn thu thập những hạt sương, để sau này tiến vào

    trong mộng cảnh để dùng.

    Nghịch Thiên châu hôm nay không biết vì sao lại xuất hiện nhiều chất

    lỏng như vậy, hơn nữa, hắn có thể cảm giác được chất lỏng này có thuộc
    dịch vụ kế toán thuế trọn gói trung tâm kế toán tại tphcm ngoduong học kế toán tại cầu giấy kế toán cho giám đốc chung cư newskyline văn quán chung cư goldmark city dịch vụ kế toán trọn gói học kế toán phần mềm misa học kế toán thực hành meomeo007 01embesexy trung tâm kế toán tại hà đông chung cư hà nội trung tâm kế toán tại thanh xuân dịch vụ kế toán thuế dịch vụ báo cáo tài chính

    tính âm hàn, hơn nữa linh khí ba động không hề giống trước kia.

    Vương Lâm hít sâu một hơi, không nói hai lời lấy hồ lô ra, bắt đầu thu thập chất lỏng.

    Đợi tới khi thu thập được toàn bộ chất lỏng, ánh mắt Vương Lâm chớp động

    vài lần, rồi thử tiếp tục hấp thu âm hàn khí. Bạch khí từ bốn phía nhất

    thời xuất hiện, lúc này đây thần thức Vương Lâm đều tập trung lên hạt

    châu, hắn ngay lập tức cảm nhận được một tia bạch khí yên lặng chui vào

    ReplyDelete