harelsegev/prefetch-hash-crackerWindowsプレフェッチハッシュから完全な実行可能ファイルパスを復元するブルートフォースツール（bodyfilesを使用）。XP、Vista、2008のハッシュ関数をサポートし、フォレンジック解析向け。
Windows マシンのフォレンジック分析中に、削除されたプリフェッチファイルの名前が見つかることがあります。その内容は復元できないかもしれませんが、ファイル名自体が、そのプリフェッチファイルが作成された実行ファイルのフルパスを見つけるのに十分な場合が多いです。
以下のフィールドを指定する必要があります：
実行可能ファイル名
拡張子を含めます。プリフェッチファイル名に埋め込まれます（thisが適用されない限り）。
プリフェッチハッシュ
プリフェッチファイル名の末尾、.pf 拡張子の直前にある8桁の16進数。
ハッシュ関数
ボディファイル
マウントポイント
既知のプリフェッチハッシュ関数は3つあります：
SCCA XP
Windows XP で使用
SCCA Vista
Windows Vista および Windows 10 で使用
SCCA 2008
Windows 7、Windows 8、Windows 8.1 で使用
実行ファイルが実行されたボリュームのボディファイル。
ボディファイルの形式は非常に制限的ではないため、多くのバリエーションが存在します。その中にはサポートされていないものもあります。fls や MFTECmd で作成されたボディファイルは正常に動作するはずです。
ボディファイルのマウントポイント。以下のように下線が引かれています：
0|C:/Users/Peter/Desktop ($FILE_NAME)|62694-48-2|d/d-wx-wx-wx|...提供されたボディファイルを使用して、ボリューム上のすべてのフォルダのパスを取得します。ツールは、提供された実行可能ファイル名をそれらの各パスに追加して、実行可能ファイルの可能なフルパスのリストを作成します。次に、各可能なフルパスは提供されたハッシュ関数を使用してハッシュ化されます。結果が提供されたハッシュと一致する可能なフルパスがある場合、そのパスが出力されます。
以下のケースはサポートされていません：
svchost.exe や mmc.exe などのホスティングアプリケーション/prefetch:# フラグを付けて実行されるアプリケーション実行可能ファイル名が29文字（拡張子を含む）より長い場合、プリフェッチファイル名で切り詰められます。例えば、Windows 10マシンの C:\Temp ディレクトリからこのファイルを実行すると：
This is a very long file nameSo this part will be truncated.exe
次のプリフェッチファイルが作成されます：
THIS IS A VERY LONG FILE NAME-D0B882CC.pf
この場合、実行可能ファイル名をプリフェッチファイル名から導き出すことができないため、ツールに提供できません。