<html><head></head><body style="word-wrap: break-word; -webkit-nbsp-mode: space; -webkit-line-break: after-white-space; ">Excellent paper. Thanks for pointing that out.<div><br><div>
<span class="Apple-style-span" style="border-collapse: separate; border-spacing: 0px 0px; color: rgb(0, 0, 0); font-family: Helvetica; font-size: 12px; font-style: normal; font-variant: normal; font-weight: normal; letter-spacing: normal; line-height: normal; text-align: auto; -khtml-text-decorations-in-effect: none; text-indent: 0px; -apple-text-size-adjust: auto; text-transform: none; orphans: 2; white-space: normal; widows: 2; word-spacing: 0px; "><div>--</div><div>chort</div><div><br class="khtml-block-placeholder"></div><br class="Apple-interchange-newline"></span>
</div>

<br><div><div>On Jun 19, 2013, at 2:38 PM, Michael Hale Ligh wrote:</div><br class="Apple-interchange-newline"><blockquote type="cite"><div dir="ltr">I'd suggest reading the paper, it explains all of this and more (windows internals expertise not required)<div><br></div><div><a href="http://dfrws.org/2008/proceedings/p26-dolan-gavitt.pdf">http://dfrws.org/2008/proceedings/p26-dolan-gavitt.pdf</a><br>
</div><div><br></div><div style="">MHL</div></div><div class="gmail_extra"><br><br><div class="gmail_quote">On Wed, Jun 19, 2013 at 12:30 PM, Brian Keefer <span dir="ltr">&lt;<a href="mailto:chort@effu.se" target="_blank">chort@effu.se</a>&gt;</span> wrote:<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">I look at mostly Win7/64 systems and have always found shimcache data in memory images before. In the last several weeks only about 50% of the images I looked at had it. I'm running a 2.3 alpha build from a month or two ago (have been all this time).<br>

<br>
While not strictly a Volatility issue, could someone explain under what circumstances the data wouldn't be available? I'm not a Windows internals expert (yet, I have part 1 and part 2 on my bookshelf, waiting...)<br>

<br>
Thanks!<br>
<br>
--<br>
chort<br>
<br>
<br>
<br>
_______________________________________________<br>
Vol-users mailing list<br>
<a href="mailto:Vol-users@volatilityfoundation.org">Vol-users@volatilityfoundation.org</a><br>
<a href="http://lists.volatilityfoundation.org/mailman/listinfo/vol-users" target="_blank">http://lists.volatilityfoundation.org/mailman/listinfo/vol-users</a><br>
</blockquote></div><br></div>
</blockquote></div><br></div></body></html>