WMI Repository (CIM)
| Format | WMI Repository (CIM) |
|---|---|
| Kurzname | WMI repository |
| Kategorie | Datenbank |
| Plattformen | Windows |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-05 |
Forensische Relevanz
Das Common-Information-Model-Repository von Windows Management Instrumentation in %SystemRoot%\System32\wbem\Repository\ (ab Windows Vista): INDEX.BTR (Index-B-Tree), OBJECTS.DATA (Objektdatensätze) und MAPPING1–3.MAP (Zuordnung logischer zu physischen Pages), mit Pages zu 8192 Bytes. Das Repository speichert Klassendefinitionen und Instanzen, darunter Event Filter, Consumer und Bindings, die für WMI-basierte Persistenz verwendet werden. Nicht referenzierte Pages in OBJECTS.DATA können gelöschte Objekte behalten. Mapping-Dateien beginnen mit der Signatur 0x0000ABCD.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | CD AB 00 00 | .... | Header-Signatur der Mapping-Dateien 0x0000ABCD (MAPPING*.MAP) |
Bekannte Dateiendungen
Nicht erfasst
Referenzen
- WMI repository file format (libyal/dtformats) https://github.com/libyal/dtformats/blob/main/documentation/WMI%20repository%20file%20format.asciidoc
Diesen Eintrag zitieren
Crush-Format-Referenz, „WMI Repository (CIM)“. https://kalink0.github.io/crush-forensics/formats/de/wmi-repository/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden