日志
域日志位置
#服务器登录日志 登录事件ID 4624,可判别出登录域控制器的机器
C:\Windows\System32\winevt\Logs\Security.evtx
#远程登录日志
c:\windows\system32\winevt\logs\*.remote*
主机远程登录日志
HKCU\Software\Microsoft\Terminal Server Client\Servers
HKCU\Software\Microsoft\Terminal Server Client\Default
系统开机自启目录
C:\Users\用户名\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\
C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\
Firefox浏览器密码、历史记录
#将下述三个文件导入到对应版本firefox的文件夹中,即可读取密码和历史记录
C:\Users\用户名\AppData\Roaming\Mozilla\Firefox\Profiles\xxx.default-release\logins.json
C:\Users\用户名\AppData\Roaming\Mozilla\Firefox\Profiles\xxx.default-release\key3.db
C:\Users\用户名\AppData\Roaming\Mozilla\Firefox\Profiles\xxx.default-release\place.sqlite
最近使用的文件<