[发明专利]一种恢复并解析Windows操作系统预读文件的方法

权利要求书

1.一种恢复并解析Windows操作系统预读文件的方法，其特征在于包括以下步骤：

S1：获取所述Windows操作系统预读文件,所述Windows操作系统预读文件后缀为pf且保存在％systemroot％\Prefetch目录中，所述Windows操作系统预读文件为二进制文件，用十六进制编辑器软件打开后显示为十六进制文件并用于解析,获取所述Windows操作系统预读文件包括以下步骤：

S101：判断所述Windows操作系统预读文件是否被删除，如果是，执行步骤S102，否则执行步骤S2；

S102：以所述Windows操作系统预读文件的文件头为关键字，扫描存储介质空闲区,Windows操作系统预读文件的文件头均以0x1700000053434341作为标识，所以，以0x1700000053434341为关键字进行查找；

S103：判断是否查找到所匹配的所述文件头0x1700000053434341，如果是，执行步骤S2，否则执行步骤S102；

S2：解析所述Windows操作系统预读文件，包括应用程序名称、应用程序存放路径、应用程序最后运行时间、应用程序运行次数；解析所述Windows操作系统预读文件包括以下步骤：

S201：查找并解析所述Windows操作系统预读文件的文件头和文件长度：所述Windows操作系统预读文件前8个字节的内容为所述文件头，所述文件长度以小端格式存储在地址0x0000000C开始的连续4个字节中，所述文件长度是相对于文件起始地址0x00000000的偏移量；

S202：查找并解析所述应用程序名称：所述应用程序名称以Unicode编码的小端格式存储在地址0x00000010开始的连续多个字节中，且以不少于连续2个全零字节作为结束符；

S203：查找并解析路径区：所述路径区的起始地址以小端格式存储在地址0x00000064开始的连续4个字节中；所述路径区的偏移量是相对于所述路径区的起始地址的偏移量，以小端格式存储在地址0x00000068开始的连续4个字节中；所述路径区的结束地址以小端格式存储在地址0x0000006C开始的连续4个字节中，所述路径区的路径以Unicode编码格式存储；

S204：查找并解析所述应用程序存放路径：以所述路径区的结束地址作为起始位置，向前查找所述应用程序名称，再以所述应用程序名称的起始地址作为起始位置，向前查找第一个路径隔断标识，所述路径隔断标识后2个字节的内容为路径标识符，从所述路径标识符起，向后至所述应用程序名称截止，为所述应用程序存放路径；所述应用程序存放路径以Unicode编码格式存储；

S205：查找并解析所述应用程序的运行时间：所述应用程序的最后运行时间以FILETIME时间格式存储在地址0x00000080开始的连续8个字节中；

S206：查找并解析所述应用程序的运行次数：所述应用程序的运行次数以小端格式存储在地址0x00000098开始的连续4个字节中；

S3：根据解析结果，提取所述应用程序名称、所述应用程序存放路径、所述应用程序最后运行时间、所述应用程序运行次数。