Velociraptor项目中Windows.Sys.AllUsers模块的故障排查与修复

问题背景

在Velociraptor取证工具中，Windows.Sys.AllUsers模块设计用于收集Windows系统中的所有用户信息，包括本地用户和漫游用户。然而，近期有用户发现该模块无法正确返回"roaming_users"(漫游用户)数据，导致收集的用户信息不完整。

技术分析

经过深入分析，发现问题出在VQL(Velociraptor Query Language)查询中的memoize()函数使用上。该函数被错误地应用于roaming_users查询，导致后续的chain()操作无法正常工作。

核心问题

1. memoize()函数将查询结果缓存为字典格式
2. chain()函数期望接收的是查询序列，而非字典
3. 这种类型不匹配导致整个查询链断裂

解决方案

项目维护者scudette已提交修复方案，主要调整了VQL查询结构：

1. 移除了对roaming_users查询的memoize()包装
2. 确保chain()接收的是正确的查询序列
3. 优化了查询性能，避免不必要的缓存操作

影响范围

此问题会影响所有使用Windows.Sys.AllUsers模块收集Windows用户信息的场景，特别是需要获取漫游用户数据的调查任务。

验证方法

用户可以通过以下方式验证修复效果：

1. 从master分支获取最新的artifact定义
2. 运行Windows.Sys.AllUsers模块
3. 与Windows.Sys.Users模块的结果进行对比
4. 确认漫游用户数据是否完整返回

技术建议

对于VQL开发人员，此案例提供了以下经验：

1. 谨慎使用memoize()函数，确保其返回类型与后续操作兼容
2. 理解chain()函数对输入类型的严格要求
3. 在组合多个查询时，注意类型一致性检查

该修复现已合并到主分支，用户可以通过更新artifact定义来获取修复后的版本。