当您使用远程桌面(mstsc.exe)连接到另一台电脑时,客户端会在本地缓存远程屏幕的部分内容——自上次刷新以来未发生变化的部分——这样就不必每次都通过网络重新绘制所有内容。该缓存按用户存储于 %LOCALAPPDATA%\Microsoft\Terminal Server Client\Cache, 并且即使会话已关闭,它仍会保留在磁盘上。
| 字段 | 揭示的信息 | PrivaZer的处理方式 |
|---|---|---|
| 位图图块 | 远程屏幕的实际视觉片段 | 已删除 |
| 图块元数据 | 如何解读并重新组装每个图块 | 已删除 |
| 索引(.bmc)文件 | 哪些图块属于同一组 | 已删除 |
| 缓存(.bin)文件 | 按会话划分的大部分缓存图像数据 | 已删除 |
| 时间戳 | 某次会话大致发生的时间 | 已删除 |
单独一个图块毫无意义,只是一小格像素。但与缓存中的其他图块拼接在一起,它们就能形成一张可识别的图像,展示远程屏幕上的内容,可能包括该会话期间可见的任何内容。PrivaZer会清除整个缓存目录,使其无法再被拼接还原。
会。PrivaZer会删除您账户下整个 Terminal Server Client\Cache 文件夹,一次性涵盖索引文件和缓存数据文件。这是位于您自己AppData文件夹下的每用户数据,因此不需要管理员权限,也不需要重启。
会,而且这正是有意设计如此,该缓存旨在持久保留,以便日后连接同一服务器的会话能够利用它。关闭远程桌面、断开连接,甚至远程服务器离线,都不会清除这些文件。它们可能会无限期地留存在磁盘上,直到被重用、覆写或清理。
安全。清除它不会影响您的文件、已安装的程序或系统稳定性,也完全不会影响远程计算机,只影响本地缓存。唯一可见的影响是,您下次连接某台服务器的远程桌面会话最初可能需要通过网络重新绘制稍多一些数据,因为无法重用旧的缓存图块,直到新的缓存建立起来。
会,您下次的远程桌面会话会立即开始构建一个全新的缓存,这是性能功能正常预期中的行为。定期运行PrivaZer,或在任何敏感的远程会话之后运行,可以让它保持清空状态。
Windows时间线可以说出您打开过的文档名称。OpenSaveMRU可以说出您保存过的文件名称。Amcache可以说出您运行过的程序名称。但它们都无法向您展示这些内容实际看起来是什么样子。RDP位图缓存是本站介绍的痕迹中唯一存储实际视觉内容而非事件描述的一种,这也正是为什么专门的重建工具只为它而存在,而不为其他痕迹存在。