アンタイ・フォレンジック妖怪の独り言

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

最大化・最小化のカウント?

実行回数 4バイトの次にある 4バイトが何か?ですが、id:ghetto2199説によるとアプリケーションのウインドウを最小化・最大化することで変化するということらしく、実際に地道に電卓アプリケーションを起動して、最小化・最大化を試してみた結果が以下です。
このバイナリ値は、レジストリへのアクセスを監視するのに、Sysinternals Suite のプロセスモニタ(Process Monitor)でフィルタを行いつつ、該当レジストリ値へ設定された値を順次確認していたものです。*1
アプリケーションの最小化・最大化を行うことで 35 → 36 → 37 → 38 と値(赤色)がカウントされていきます。(実行回数の部分はカウントが変化しない)

00 00 00 00 0F 00 00 00 35 00 00 00 68 AF 04 00
00 00 00 00 0F 00 00 00 35 00 00 00 24 B5 04 00
00 00 00 00 0F 00 00 00 36 00 00 00 24 B5 04 00
00 00 00 00 0F 00 00 00 36 00 00 00 F6 B9 04 00
00 00 00 00 0F 00 00 00 37 00 00 00 F6 B9 04 00
00 00 00 00 0F 00 00 00 37 00 00 00 DC C0 04 00
00 00 00 00 0F 00 00 00 38 00 00 00 DC C0 04 00
00 00 00 00 0F 00 00 00 38 00 00 00 6A C6 04 00

ただし、残り 4バイトもカウントがアップしていくのですが、これが何なのかは色々と議論があったのですがとりあえず謎なままです。

*1:最初はレジストリを直接みていたのですが、さすがに効率が悪くて参加者からのプロセスモニタのほうが便利というアドバイスで格段に作業効率がアップしたわけです