Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
中文
Entry № 1034

Shimcache (AppCompatCache)

Shimcache (AppCompatCache) 是什么?

Shimcache (AppCompatCache)Windows 注册表中的一个值,用于应用兼容性检查时记录可执行文件元数据;历史上常作为执行证据,但在解读时需特别注意若干限制。

Shimcache 即应用程序兼容性缓存 (AppCompatCache),保存在 SYSTEM 注册表配置单元的 ControlSet###\Control\Session Manager\AppCompatCache。它记录被 AppCompat 子系统评估过的可执行文件路径、大小和最近修改时间,部分 Windows 版本还包含执行标志。该缓存仅在关机时写入磁盘,在线提取可能丢失最新记录;同时,有条目并不一定代表程序真的运行过——在旧版 Windows 中,仅在资源管理器里浏览一个文件夹也可能产生条目。在现代系统中 Amcache 更可信,但 Shimcache 对老旧主机以及作为佐证仍然有价值。常用工具是 AppCompatCacheParser。

● 示例

  1. 01

    在 Amcache 数据稀少的 Windows Server 2012 R2 主机上,确认攻击者工具的执行。

  2. 02

    在文件被关机前已删除的情况下,从 C:\PerfLogs\ 路径定位到恶意二进制文件。

● 常见问题

Shimcache (AppCompatCache) 是什么?

Windows 注册表中的一个值,用于应用兼容性检查时记录可执行文件元数据;历史上常作为执行证据,但在解读时需特别注意若干限制。 它属于网络安全的 取证与应急响应 分类。

Shimcache (AppCompatCache) 是什么意思?

Windows 注册表中的一个值,用于应用兼容性检查时记录可执行文件元数据;历史上常作为执行证据,但在解读时需特别注意若干限制。

Shimcache (AppCompatCache) 是如何工作的?

Shimcache 即应用程序兼容性缓存 (AppCompatCache),保存在 SYSTEM 注册表配置单元的 ControlSet###\Control\Session Manager\AppCompatCache。它记录被 AppCompat 子系统评估过的可执行文件路径、大小和最近修改时间,部分 Windows 版本还包含执行标志。该缓存仅在关机时写入磁盘,在线提取可能丢失最新记录;同时,有条目并不一定代表程序真的运行过——在旧版 Windows 中,仅在资源管理器里浏览一个文件夹也可能产生条目。在现代系统中 Amcache 更可信,但 Shimcache 对老旧主机以及作为佐证仍然有价值。常用工具是 AppCompatCacheParser。

如何防御 Shimcache (AppCompatCache)?

针对 Shimcache (AppCompatCache) 的防御通常结合技术控制与运营实践,详见上方完整定义。

Shimcache (AppCompatCache) 还有哪些其他名称?

常见的别称包括: AppCompatCache, AppCompat Cache。

● 相关术语