如何清理Windows上的CIDSizeMRU?

CIDSizeMRU紧邻 LastVisitedPidlMRU, 下 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\CIDSizeMRU. 尽管名称如此,这并不仅仅是窗口大小。每个条目都是一个编号的MRU插槽(0、1、2……),其值数据是一个UTF-16字符串,并带有一个 MRUListEx 值,用于跟踪最近使用的是哪个插槽。检查实际注册表时可以发现,某个插槽可能保存了使用通用打开/保存对话框的应用程序名称,例如 mspaint.exe. 取证资料还记载了在其他情况下,该键也可能保存实际的文件名,这就是为什么调查人员在还原哪些文档(包括敏感文档)曾通过对话框被访问时,会将其与OpenSavePidlMRU一起作为佐证证据。

无论是应用程序名称还是文档名称,这都是一条值得清除的记录。PrivaZer会将这些条目与LastVisitedPidlMRU一起删除。

该键的名称具有误导性:实际存储的并非大小,而是一个标识字符串——在我们检查的案例中是应用程序名称,不过取证资料也记载了此处可能出现文档文件名,每个都存放在各自编号的插槽中,并由MRUListEx跟踪顺序。这使其成为一份真实的使用记录,在确定哪些文件曾通过对话框被访问时,可作为与OpenSavePidlMRU相互印证的重要证据,对调查人员很有价值。PrivaZer会清除这些条目,使这一痕迹不再留存于注册表中。

会。PrivaZer会检测并删除以下位置的值: ComDlg32\CIDSizeMRU 作为扫描的一部分,也可以单独针对它们进行清理。

与其ComDlg32同源项LastVisitedPidlMRU一样,它完全位于您的用户配置单元(HKEY_CURRENT_USER)下。PrivaZer可以直接删除这些值,无需绕过任何锁定,无需重启,也无需管理员权限,因为这是您自己的用户配置单元。

会。关闭对话框,或卸载使用过它的程序,都不会删除其插槽。无论条目中记录的是什么——一个已卸载的应用程序,或一份您之后已删除的文档——它都会一直留在注册表中,直到有内容将其覆盖或删除。清理CIDSizeMRU正是为了清除这些残留。

安全。清除它不会影响您的文件、已安装的程序或系统稳定性。此后您再使用打开/保存对话框时,Windows只会重新开始记录。如果该键的名称在某些应用程序中确实对应某种对话框大小行为,最多您会看到某个对话框短暂地以默认大小重新打开,之后Windows会再次记住您的偏好设置。

会,这是正常现象。下一个使用通用打开/保存对话框的应用程序会获得一个全新的插槽。清理只是删除了此前的历史痕迹。定期运行PrivaZer可以让这份记录保持简短。

它们位于同一个ComDlg32分支下,共用相同的MRU列表结构,实际上比名称所暗示的更为相近。LastVisitedPidlMRU将特定应用程序与特定文件夹配对,以PIDL形式编码,即使驱动器被移除也能保留。CIDSizeMRU则在每个编号插槽中记录一个标识字符串——在我们检查的条目中是应用程序名称,不过也可能保存文档文件名——且不附带文件夹信息。取证人员会用它来印证OpenSavePidlMRU所显示的哪些文件曾被打开或保存。

参见: LastVisitedPidlMRU(打开/保存对话框中最近使用的文件).