4、用户最近文件%UserProfile%\Recent，如Administrator对应的目录为C:\Users\Administrator\Recent
5、回收站，如C盘下回收站C:\$Recycle.Bin
对于脚本文件可直接查看内容判定是否为恶意，若是遇到exe可执行文件，可将对应文件上传至virustotal（https://www.virustotal.com）进行检测。
2.1.3后门文件
排查步骤：
查看粘滞键exe；
查看注册表中映像的键值。
分析方法：
1、查看粘滞键exe
查看C:\Windows\System32\下的sethc.exe文件的创建、修改时间是否正常，如下图，一般情况下，系统文件的创建时间与修改时间应相同，sethc的创建时间与修改时间不同，可确定sethc已被替换成后门文件。由于攻击者可修改文件时间，上述简单粗暴的判断方式可能不靠谱，可将sethc拷贝出来、上传至VT检测危害。
2、查看注册表中映像的键值
检查注册表“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options”下所有exe项中是否有debugger键，若有debugger键，将其键值对应的程序上传至VT检测。如下图，攻击者利用该映像劫持的攻击者方式，在sethc.exe项中新建debugger键值指向artifact.exe，攻击效果为当连续按5下shift键后，不会执行sethc.exe，而是转而执行劫持后的artifact.exe文件。于是在排查中发现有debugger键值，均可认为指定的文件为后门文件，待上传VT后确认其危害。
