后渗透系列 Win­dows10/11 中文用户输入痕迹信息

引言

    当今信息化时代下，存在于各类计算机设备中的数据信息已成为越来越多刑事案件侦查的线索来源。Windows操作系统作为当今全球计算机使用率最高的操作系统，针对Windows操作系统的电子数据取证一直是电子数据取证领域研究的重点之一例，其中针对Windows操作系统中用户常用应用软件的行为取证分析，成为公安以及黑客组织用来突破的途径之一。

    中文输入法作为Windows中文操作系统必备的一款应用程序，不仅支持中文文字编码和输入的功能，还具有自定义、自学习用户词库功能，这一功能将系统用户常用或者符合用户用语习惯的字词句以一种特定的结构形式存储成独立的词库数据集文件，以方便后期提高输入效率。这类用户词库文件留存了大量的与系统用户直接相关的输入痕迹信息，如目标姓名、地址、谈话内容等关键词，都能在输入法用户词库中有所体现，但用户词库中所存储的这些信息往往被取证人员忽略。

输入法词库位置

通过对Win10系统自带中文输入法程序运行进程的分析，发现与中文输入法相关的用户词库文件主要存储在

%USERPROFILE%\AppData\Roaming\Microsoft\InputMethod\Chs