[{"id":149,"title":"PECmd ile Windows Prefetch Dosyalar\u0131n\u0131n Adli Bili\u015fim Analizi","content":"Windows i\u015fletim sisteminde, programlar\u0131n daha h\u0131zl\u0131 ba\u015flat\u0131lmas\u0131na yard\u0131mc\u0131 olmak i\u00e7in tasarlanm\u0131\u015f \"Prefetch\" mekanizmas\u0131, adli bili\u015fim uzmanlar\u0131 i\u00e7in bir alt\u0131n madeni niteli\u011findedir. Prefetch klas\u00f6r\u00fcnde yer alan dosyalar, sistemde hangi uygulamalar\u0131n ne zaman ve ka\u00e7 kez \u00e7al\u0131\u015ft\u0131r\u0131ld\u0131\u011f\u0131 gibi kritik bilgileri i\u00e7erir. Bu blog yaz\u0131s\u0131nda, Eric Zimmerman taraf\u0131ndan geli\u015ftirilen PECmd arac\u0131n\u0131n kullan\u0131m\u0131n\u0131 detayl\u0131 bir \u015fekilde inceleyece\u011fiz. Windows Prefetch Dosyalar\u0131 Nedir? Windows i\u015fletim sistemi, s\u0131k kullan\u0131lan uygulamalar\u0131n ba\u015flat\u0131lmas\u0131 s\u0131ras\u0131nda gerekli olan dosyalar\u0131 \u00f6nbelle\u011fe alarak sistemin performans\u0131n\u0131 art\u0131rmak i\u00e7in Prefetch mekanizmas\u0131n\u0131 kullan\u0131r. Bu mekanizma, `C:\\Windows\\Prefetch` klas\u00f6r\u00fcnde `.pf` uzant\u0131l\u0131 dosyalar olu\u015fturur. Bu dosyalar \u015fu isimlendirme kural\u0131n\u0131 takip eder: UYGULAMA_ADI-HASH.pf \u00d6rne\u011fin: `NOTEPAD++.EXE-72ABB319.pf` Her Prefetch dosyas\u0131 \u015fu bilgileri i\u00e7erir: - Uygulaman\u0131n tam yolu - Uygulaman\u0131n son \u00e7al\u0131\u015ft\u0131r\u0131lma zaman\u0131 - Uygulama ka\u00e7 kez \u00e7al\u0131\u015ft\u0131r\u0131ld\u0131 - Uygulama \u00e7al\u0131\u015ft\u0131r\u0131ld\u0131\u011f\u0131nda hangi dosyalara eri\u015fildi - \u00c7e\u015fitli zaman damgalar\u0131 Eric Zimmerman'\u0131n PECmd Arac\u0131 Eric Zimmerman'\u0131n geli\u015ftirdi\u011fi PECmd, Windows Prefetch dosyalar\u0131n\u0131 analiz etmek i\u00e7in tasarlanm\u0131\u015f g\u00fc\u00e7l\u00fc bir komut sat\u0131r\u0131 arac\u0131d\u0131r. Bu ara\u00e7, Windows XP'den Windows 11'e kadar t\u00fcm Windows s\u00fcr\u00fcmleri i\u00e7in olu\u015fturulan Prefetch dosyalar\u0131n\u0131 analiz edebilir. PECmd'nin \u00d6zellikleri - Tek bir Prefetch dosyas\u0131n\u0131 veya bir klas\u00f6rdeki t\u00fcm Prefetch dosyalar\u0131n\u0131 analiz edebilir - CSV, JSON veya HTML format\u0131nda \u00e7\u0131kt\u0131 \u00fcretebilir - Belirli anahtar kelimeleri vurgulayabilir - Prefetch dosyas\u0131n\u0131n i\u00e7eri\u011fini ayr\u0131nt\u0131l\u0131 olarak g\u00f6sterebilir - Windows 10\/11'de kullan\u0131lan s\u0131k\u0131\u015ft\u0131r\u0131lm\u0131\u015f MAM format\u0131ndaki Prefetch dosyalar\u0131n\u0131 a\u00e7abilir - Volume Shadow Copy'lerden (VSS) Prefetch dosyalar\u0131n\u0131 inceleyebilir PECmd Kullan\u0131m \u00d6rnekleri Tek Bir Prefetch Dosyas\u0131n\u0131 Analiz Etme PECmd.exe -f \"C:\\Windows\\Prefetch\\NOTEPAD++.EXE-72ABB319.pf\" Bu komut, belirtilen Notepad++ Prefetch dosyas\u0131n\u0131 analiz eder ve sonu\u00e7lar\u0131 ekranda g\u00f6sterir. JSON Format\u0131nda \u00c7\u0131kt\u0131 Alma PECmd.exe -f \"C:\\Windows\\Prefetch\\NOTEPAD++.EXE-72ABB319.pf\" --json \"C:\\Forensics\\Output\" Bu komut, analiz sonu\u00e7lar\u0131n\u0131 JSON format\u0131nda belirtilen klas\u00f6re kaydeder. CSV Format\u0131nda \u00c7\u0131kt\u0131 Alma PECmd.exe -f \"C:\\Windows\\Prefetch\\NOTEPAD++.EXE-72ABB319.pf\" --csv \"C:\\Forensics\\Output\" Bu komut, analiz sonu\u00e7lar\u0131n\u0131 CSV format\u0131nda belirtilen klas\u00f6re kaydeder. \u00d6zel Dosya Ad\u0131yla \u00c7\u0131kt\u0131 Alma PECmd.exe -f \"C:\\Windows\\Prefetch\\NOTEPAD++.EXE-72ABB319.pf\" --csv \"C:\\Forensics\\Output\" --csvf \"notepad_analiz.csv\" Bu komut, CSV \u00e7\u0131kt\u0131s\u0131n\u0131 \u00f6zel bir dosya ad\u0131yla kaydeder. Belirli Anahtar Kelimeleri Vurgulama PECmd.exe -f \"C:\\Windows\\Prefetch\\NOTEPAD++.EXE-72ABB319.pf\" -k \"gizli,\u015fifreli,\u00f6nemli\" Bu komut, \u00e7\u0131kt\u0131da belirtilen anahtar kelimeleri vurgular. Varsay\u0131lan olarak \"temp\" ve \"tmp\" kelimeleri zaten vurgulan\u0131r. Prefetch Dosyas\u0131n\u0131 \u00c7\u0131karma PECmd.exe -f \"C:\\Windows\\Prefetch\\NOTEPAD++.EXE-72ABB319.pf\" -o \"C:\\Forensics\\Extracted\" Bu komut, Prefetch dosyas\u0131n\u0131n i\u00e7eri\u011fini belirtilen klas\u00f6re \u00e7\u0131kar\u0131r. \u00d6zellikle Windows 10\/11'de s\u0131k\u0131\u015ft\u0131r\u0131lm\u0131\u015f MAM format\u0131ndaki dosyalar\u0131 incelemek i\u00e7in faydal\u0131d\u0131r. T\u00fcm Prefetch Klas\u00f6r\u00fcn\u00fc Analiz Etme PECmd.exe -d \"C:\\Windows\\Prefetch\" Bu komut, Prefetch klas\u00f6r\u00fcndeki t\u00fcm dosyalar\u0131 analiz eder. Volume Shadow Copy'leri \u0130nceleme PECmd.exe -d \"C:\\Windows\\Prefetch\" --vss Bu komut, hem normal Prefetch klas\u00f6r\u00fcn\u00fc hem de Volume Shadow Copy'lerdeki Prefetch dosyalar\u0131n\u0131 analiz eder. PECmd \u00c7\u0131kt\u0131s\u0131nda Ne T\u00fcr Bilgiler Bulunur? PECmd \u00e7\u0131kt\u0131s\u0131 genellikle \u015fu bilgileri i\u00e7erir: 1. Dosya Bilgileri: - Dosya ad\u0131 ve yolu - Dosya boyutu - Dosya hash de\u011feri 2. Uygulama Bilgileri: - Uygulama tam yolu - \u00c7al\u0131\u015ft\u0131rma say\u0131s\u0131 - Son \u00e7al\u0131\u015ft\u0131rma zaman\u0131 3. Eri\u015filen Dosyalar: - Uygulama \u00e7al\u0131\u015ft\u0131r\u0131ld\u0131\u011f\u0131nda eri\u015filen t\u00fcm dosyalar\u0131n listesi - Bu dosyalar\u0131n tam yollar\u0131 4. Zaman Damgalar\u0131: - Olu\u015fturulma zaman\u0131 - Son de\u011fi\u015ftirilme zaman\u0131 - Son eri\u015fim zaman\u0131 Adli Bili\u015fim Soru\u015fturmalar\u0131nda PECmd Kullan\u0131m\u0131 Adli bili\u015fim soru\u015fturmalar\u0131nda PECmd arac\u0131 \u015fu durumlarda \u00f6zellikle faydal\u0131d\u0131r: 1. Kullan\u0131c\u0131 Aktivitelerinin Tespiti: Hangi programlar\u0131n ne zaman \u00e7al\u0131\u015ft\u0131r\u0131ld\u0131\u011f\u0131n\u0131 belirlemek i\u00e7in kullan\u0131labilir. 2. Anti-Forensics Tekniklerinin Tespiti: Prefetch dosyalar\u0131 silinmi\u015f olsa bile, VSS \u00fczerinden eri\u015filebilir. 3. Zararl\u0131 Yaz\u0131l\u0131m Analizi: \u015e\u00fcpheli bir uygulaman\u0131n \u00e7al\u0131\u015ft\u0131r\u0131lmas\u0131 s\u0131ras\u0131nda hangi dosyalara eri\u015fti\u011fini belirlemek i\u00e7in kullan\u0131labilir. 4. Sistem Kullan\u0131m Al\u0131\u015fkanl\u0131klar\u0131n\u0131n Tespiti: Kullan\u0131c\u0131n\u0131n hangi programlar\u0131 s\u0131k kulland\u0131\u011f\u0131n\u0131 belirlemek i\u00e7in kullan\u0131labilir. 5. Zaman \u00c7izelgesi Olu\u015fturma: Bir olay\u0131n tam zaman\u0131n\u0131 belirlemek i\u00e7in di\u011fer adli bili\u015fim verileriyle birlikte kullan\u0131labilir. Sonu\u00e7 Windows Prefetch dosyalar\u0131, adli bili\u015fim soru\u015fturmalar\u0131nda de\u011ferli bilgiler sa\u011flar. Eric Zimmerman'\u0131n PECmd arac\u0131, bu dosyalar\u0131 analiz etmek i\u00e7in g\u00fc\u00e7l\u00fc ve esnek bir \u00e7\u00f6z\u00fcm sunar. Do\u011fru komutlar\u0131 kullanarak, bir sistemde hangi uygulamalar\u0131n ne zaman ve nas\u0131l kullan\u0131ld\u0131\u011f\u0131 hakk\u0131nda kritik bilgiler elde edebilirsiniz. Bu blog yaz\u0131s\u0131nda PECmd arac\u0131n\u0131n temel kullan\u0131m\u0131n\u0131 ve \u00f6zelliklerini inceledik. Adli bili\u015fim analizi yaparken, bu arac\u0131 di\u011fer ara\u00e7larla birlikte kullanarak daha kapsaml\u0131 sonu\u00e7lar elde edebilirsiniz. --- Not: Bu yaz\u0131da yer alan komutlar\u0131 kendi sistemlerinizde denemeden \u00f6nce, uygun yetkilere sahip oldu\u011funuzdan ve analiz etti\u011finiz sistemlerin kan\u0131t b\u00fct\u00fcnl\u00fc\u011f\u00fcn\u00fc korudu\u011funuzdan emin olun.","excerpt":"Windows i\u015fletim sisteminde, programlar\u0131n daha h\u0131zl\u0131 ba\u015flat\u0131lmas\u0131na yard\u0131mc\u0131 olmak i\u00e7in tasarlanm\u0131\u015f \"Prefetch\" mekanizmas\u0131, adli bili\u015fim uzmanlar\u0131 i\u00e7in bir alt\u0131n madeni niteli\u011findedir. Prefetch klas\u00f6r\u00fcnde yer alan dosyalar, sistemde hangi uygulamalar\u0131n ne zaman ve ka\u00e7 kez \u00e7al\u0131\u015ft\u0131r\u0131ld\u0131\u011f\u0131 gibi kritik bilgileri i\u00e7erir. Bu blog yaz\u0131s\u0131nda, Eric Zimmerman taraf\u0131ndan geli\u015ftirilen PECmd arac\u0131n\u0131n kullan\u0131m\u0131n\u0131 detayl\u0131 bir \u015fekilde inceleyece\u011fiz.","created_at":"2025-02-25 20:21:42","updated_at":"2026-09-08 03:09:03","category_id":7,"view_count":999,"reading_time":5,"status":"published","editor_choice":0,"is_editor_choice":0,"published_at":"2025-02-25 20:21:42","featured_image":"resimyok.jpg","slug":"pecmd-ile-windows-prefetch-dosyalarinin-adli-bilisim-analizi","category_name":"Cyber Security","category_slug":"cyber-security","category_color":"#10b981"}]