win10外设使用痕迹必须手动清除六处核心位置才能彻底抹除：usbstor/usb注册表项、幽灵设备、driverstore驱动包、setupapi.dev.log日志、automaticdestinations缓存及defender扫描记录，缺一不可。
Win10插过U盘、移动硬盘等外设后，系统会自动在注册表、驱动缓存、日志文件中留下设备型号、序列号、首次/末次连接时间等敏感痕迹，即使拔掉设备、删除文件，这些记录仍可被他人通过注册表编辑器或取证工具完整还原——必须逐层定位并手动清除六处核心位置才能真正抹除“到此一游”的证据。
清空USB设备枚举注册表项
这是最核心的痕迹存储区，包含U盘真实序列号和硬件指纹，不清理此处等于只擦了纸面没烧掉底片。
按Win + R输入regedit，以管理员权限运行注册表编辑器。
依次展开路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USBSTOR，该路径下每个子项名称都对应一个曾接入过的U盘，格式为“厂商名+型号+序列号”。
逐个右键点击你确认要清除的U盘对应子项→选择“删除”→在弹出窗口中点击“是”。注意：不要删除USBSTOR这个顶层项本身，只删其下的具体设备子项。
再导航至HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USB，此处存放的是USB控制器层级信息，找到与目标U盘VID/PID匹配的子项（通常含“&MI_00”或“&MI_01”字样），同样只删除具体设备子项，保留USB父项。
卸载隐藏的幽灵设备
Windows会把已拔出但未手动卸载的外设保留在设备管理器中作为“幽灵设备”，它们虽不显示在资源管理器里，却持续向注册表写入状态标记。
右键“开始”按钮→选择“设备管理器”。
点击顶部菜单“查看”→勾选“显示隐藏的设备”。
依次展开“通用串行总线控制器”和“磁盘驱动器”，查找名称中带“USB Mass Storage Device”“Removable Media”或灰色图标的条目。
对每个可疑条目右键→选择“卸载设备”→勾选“删除此设备的驱动程序软件”→点击“卸载”。
清理驱动缓存与PnP日志
系统会把外设驱动文件存入DriverStore，并在setupapi.dev.log中记录每次插拔的精确时间戳，这两处不清理，取证人员3分钟就能还原完整使用时序。
以管理员身份运行命令提示符（Win + R → 输入cmd → Ctrl+Shift+回车）。
执行命令：pnputil /enum-drivers，查看输出列表中是否有含“USBSTOR”“MassStorage”字样的第三方驱动包OEM编号（如oem12.inf）。
若存在，执行：pnputil /delete-driver oem12.inf /uninstall（将oem12.inf替换为你查到的实际编号）。
打开文件资源管理器，地址栏粘贴：C:\Windows\INF\setupapi.dev.log，用记事本打开，查找包含“USBSTOR”或“Disk”关键字的段落，手动删除整段相关日志内容后保存。
清除资源管理器访问痕迹
方法一：禁用并清空快速访问历史
Win + E打开资源管理器→顶部“查看”→“选项”→“文件夹选项”→“常规”选项卡→点击“清除”按钮→取消勾选“在‘快速访问’中显示最近使用的文件”和“在‘快速访问’中显示常用文件夹”→点击“应用”→“确定”。
方法二：删除AutomaticDestinations缓存数据库
Win + R输入%AppData%\Microsoft\Windows\Recent\AutomaticDestinations→回车→删除其中所有以.automaticDestinations-ms结尾的文件，重点清除f01b4d95cf51d32e.automaticDestinations-ms（该文件专存外设访问路径记录）。
彻底删除Windows Defender防护日志
第一步：关闭Windows安全中心实时保护（临时）
打开“Windows安全中心”→“病毒和威胁防护”→“管理设置”→将“实时保护”滑块设为“关”。
第二步：清空Scans History目录
打开文件资源管理器→地址栏粘贴：C:\ProgramData\Microsoft\Windows Defender\Scans\History→进入后删除整个Service文件夹（内含DetectionHistory子目录，记录所有外设扫描行为）。
第三步：重启Windows Defender服务
Win + R输入services.msc→找到“Windows Defender Firewall”和“Security Center”两项→分别右键“重新启动”。
