analyzing-windows-shellbag-artifacts

analyzing-windows-shellbag-artifacts 技能概览

这个技能能做什么

analyzing-windows-shellbag-artifacts 技能可以帮助你解读 Windows Shellbag 注册表数据，重建文件夹浏览活动，包括对已删除文件夹、可移动介质、网络共享以及其他在调查中仍然重要路径的访问痕迹。

适合谁使用

这个 analyzing-windows-shellbag-artifacts skill 最适合需要快速、可辩护地把原始 shellbag 取证数据转化为时间线或案件备注的 DFIR 分析师、事件响应人员和法证检查人员，而且不必去猜注册表位置或输出字段。

它为什么不同

不同于通用提示词，这个技能是围绕真实的 shellbag 工作流设计的：注册表 hive 位置、SBECmd 和 ShellBags Explorer 的用法，以及在 Windows 调查中最有价值的那些路径类型。也正因为如此，当你的目标是证明文件夹交互，而不只是罗列证据时，analyzing-windows-shellbag-artifacts 指南会更实用。

如何使用 analyzing-windows-shellbag-artifacts 技能

安装并找到工作流

在目录的标准安装流程中使用 analyzing-windows-shellbag-artifacts install 命令，然后先打开 SKILL.md。如需了解配置背景，也请阅读 references/workflows.md、references/api-reference.md 和 references/standards.md；这些文件会展示预期的分析路径、工具语法，以及该技能所依赖的注册表路径。

提供合适的输入

这个技能在你提供证据来源、分析范围和需要证明的内容时效果最好。高质量输入可以写成：“分析 NTUSER.DAT 和 UsrClass.dat 中的 shellbag 数据，目标用户疑似在 2024-05-18 访问过 \\SERVER01\Finance 和一个 USB 盘；请生成简洁时间线，并标出已删除文件夹的证据。” 低质量输入只是“分析 shellbags”，这会让时间范围、目标用户和优先路径都变得过于模糊。

实际使用工作流

可靠的 analyzing-windows-shellbag-artifacts usage 模式是：先提取 hive，再用 SBECmd 解析，查看 AbsolutePath、CreatedOn、ModifiedOn 和 AccessedOn，然后把 shellbag 结果与 MFT、LNK 以及其他案件证据做关联。如果你习惯先走一遍图形界面，可以先用 ShellBags Explorer 快速排查，再切换到 CSV 输出做报告和交叉验证。

优先阅读哪些文件

先看 SKILL.md 了解范围，再检查 assets/template.md 看报告结构；如果你想弄清 CSV 输出是如何被分类为 USB 和网络活动的，就读 scripts/process.py。如果你需要更深入的解析逻辑或注册表覆盖范围，scripts/agent.py 和 references/api-reference.md 是最值得优先判断的文件。

analyzing-windows-shellbag-artifacts 技能常见问题

这只适合数字取证吗？

analyzing-windows-shellbag-artifacts for Digital Forensics 当然是主要适用场景，但当你需要证明目录浏览行为时，它也适合做初筛和威胁狩猎。它不是通用的 Windows 取证技能，而是专注于 shellbag 解析以及与文件夹访问相关的证据。

它比普通提示词强在哪里？

它减少了对注册表位置、预期输出和常见 shellbag 使用场景的猜测。普通提示词可能只给出一段摘要；而这个技能更适合你需要可重复的分析路径和可直接用于报告的结果时使用。

对新手友好吗？

如果你已经知道证据来自哪里，并且能提供 hive 或 CSV 输出，那么它是友好的。若案件缺少源材料，它就没那么适合新手，因为 shellbag 的价值取决于 hive 采集是否正确，以及后续关联是否谨慎。

什么时候不该用它？

当问题范围比“文件夹浏览”更广时，不要把它当作完整磁盘分析或时间线分析的替代品。如果你的案件需要浏览器历史、执行痕迹或文件内容证据，仅靠 shellbag 会不完整。

如何改进 analyzing-windows-shellbag-artifacts 技能

提供案件背景，而不只是文件

提升最大的方式，是告诉 analyzing-windows-shellbag-artifacts skill 你到底要回答什么问题：首次访问、最后访问、可移动介质使用、网络共享浏览，还是用户在场的证明。补充目标用户、日期范围和可疑路径，这样输出就能更聚焦于真正有用的证据。

明确说明来源和格式

请说明你手上是原始 hive、SBECmd CSV，还是 GUI 导出，因为技能知道输入格式后，输出通常会更精准。只有 CSV 时，就要求按路径和时间汇总；如果有 hive，就要求解释取证含义并标注缺失数据的限制。

要求做关联和排除

更好的 analyzing-windows-shellbag-artifacts usage 不是只看结论，而是要求输出把已确认的 shellbag 证据和推断分开。可以要求它与 MFT 或 LNK 时间戳做关联，并让模型注明盘符匹配或 UNC 路径虽然很可能成立，但仅凭 shellbag 仍不能完全证明。

用更聚焦的第二轮结果迭代

如果第一版结果太宽泛，就把最有价值的路径、时间戳和冲突点反馈回去。可以要求更短的调查叙述、文件夹路径表，或者增加一个“这不能证明什么”的部分，这样最终报告在事件文件里会更容易自证其合理性。