windows取证——文件执行记录的获取和清除
# Windows取证：文件执行记录的获取与清除技术指南
## 前言
在Windows系统取证和安全分析中，文件执行记录是重要的信息来源。本指南详细总结了Windows系统中常见的文件执行记录位置、获取方法以及清除技术，适用于渗透测试、安全取证和系统管理员等多个场景。
## 一、从日志中获取执行记录
### 1. Audit Process Creation (4688/592事件)
**适用系统**：
- Windows 7/Server 2008及以上版本(Event ID 468
2025-08-25 18:20:13
0