<div dir="ltr">I&#39;d suggest reading the paper, it explains all of this and more (windows internals expertise not required)<div><br></div><div><a href="http://dfrws.org/2008/proceedings/p26-dolan-gavitt.pdf">http://dfrws.org/2008/proceedings/p26-dolan-gavitt.pdf</a><br>
</div><div><br></div><div style>MHL</div></div><div class="gmail_extra"><br><br><div class="gmail_quote">On Wed, Jun 19, 2013 at 12:30 PM, Brian Keefer <span dir="ltr">&lt;<a href="mailto:chort@effu.se" target="_blank">chort@effu.se</a>&gt;</span> wrote:<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">I look at mostly Win7/64 systems and have always found shimcache data in memory images before. In the last several weeks only about 50% of the images I looked at had it. I&#39;m running a 2.3 alpha build from a month or two ago (have been all this time).<br>

<br>
While not strictly a Volatility issue, could someone explain under what circumstances the data wouldn&#39;t be available? I&#39;m not a Windows internals expert (yet, I have part 1 and part 2 on my bookshelf, waiting...)<br>

<br>
Thanks!<br>
<br>
--<br>
chort<br>
<br>
<br>
<br>
_______________________________________________<br>
Vol-users mailing list<br>
<a href="mailto:Vol-users@volatilityfoundation.org">Vol-users@volatilityfoundation.org</a><br>
<a href="http://lists.volatilityfoundation.org/mailman/listinfo/vol-users" target="_blank">http://lists.volatilityfoundation.org/mailman/listinfo/vol-users</a><br>
</blockquote></div><br></div>