Aller au contenuAller à l'arborescence
Arborescence Windows
  1. C:
  2. Windows
  3. System32
  4. config
  5. SystemProfile
DossierRisque : Ne pas toucher

SystemProfile C:\Windows\System32\config\SystemProfile

C:\Windows\System32\config\systemprofile : profil du compte Système (LocalSystem) des services et tâches sous SYSTEM, dont leurs vidages en mode utilisateur.

Mis à jour le Par AltF4 Formation

À quoi ça sert

systemprofile est le profil du compte Système local (SYSTEM, LocalSystem), sous lequel tournent la plupart des services Windows et de nombreuses tâches planifiées. Ces processus y trouvent leur AppData et leurs fichiers temporaires, comme un utilisateur interactif. Les comptes Service local et Service réseau ont le leur dans C:\Windows\ServiceProfiles.

Ce qu’il contient

  • Une structure de profil, AppData (avec Local et Roaming), Desktop, Documents, en général presque vide.
  • Les vidages en mode utilisateur des services qui tournent sous le compte Système, dans AppData\Local\CrashDumps.
  • Ce que laissent les agents de supervision, de sauvegarde ou de gestion de parc, et les scripts lancés sous SYSTEM (tâche planifiée, déploiement, psexec -s).
  • Pour un processus 32 bits, Windows utilise SysWOW64\config\systemprofile à la place.

C’est un bon endroit à fouiller en investigation : un script ou un agent lancé sous SYSTEM a pu y laisser des fichiers.

Risques et bonnes pratiques

  • Le profil est chargé par les services au démarrage : le supprimer ou le déplacer les perturbe. Pour un vidage de service volumineux, gardez-le le temps de l’analyse, puis supprimez seulement le .dmp concerné.
  • Le dossier se trouve sous System32\config, à côté des ruches du Registre, très sensibles. Ouvrez-le depuis une session administrateur et ne changez pas les droits d’accès.

Commandes utiles

Fenêtre de terminal
# En administrateur : fichiers les plus récemment modifiés dans le profil Système
Get-ChildItem "$env:windir\System32\config\systemprofile" -Recurse -Force -File -ErrorAction SilentlyContinue |
  Sort-Object LastWriteTime -Descending | Select-Object -First 20 FullName, Length, LastWriteTime


# Vidages éventuels des services Système
Get-ChildItem "$env:windir\System32\config\systemprofile\AppData\Local\CrashDumps" -Force -ErrorAction SilentlyContinue

Signaler une erreur