Сегодня продолжим тему компьютерной криминалистики. В этот раз расскажу, где хранятся данные браузера на компьютере и какими инструментами их извлечь. Речь пойдет о браузерах Chrome, Firefox и Edge.
Еще по теме: Поиск артефактов на компьютере Windows
Извлечение данных из браузера Chrome Firefox Edge
Что можно извлечь:
- Закладки: это перечень веб-сайтов, которые пользователь добавил в закладки и сохранил.
- Расширения, плагины и настройки: специфичный набор информации для каждого браузера и может дать много информации о действиях
пользователя. - Кэш: при навигации по веб-сайтам браузер создает всевозможные кеш-данные (изображения, файлы JavaScript) по многим причинам. Например,
для ускорения загрузки веб-сайтов. Эти файлы кеша могут быть отличным источником данных во время расследования. - Логины: имеют большое значение, так как это ключи пользователя в учетных данных для входа в систему, и некоторые из них могут быть
сохранены пользователем в браузере. - Фавиконы/миниатюры: это крошечные маленькие значки и изображения, которые в основном загружаются как значки, в заголовках веб-сайтов, в
основном логотипы компаний. Они хранятся в браузере и могут содержать информацию о посещаемых пользователем веб-сайтах. - Сеансы браузера: это журналы с датой и временем, указанные в истории веб-поиска, которые могут предоставить информацию о времени
просмотра веб-страниц пользователем. - Загрузки: это список файлов, загруженных пользователем. Ctrl + J — это сочетание клавиш по умолчанию для доступа к этому списку в большинстве
браузеров.
Извлечение данных из браузера Chrome
В моем случае имя пользователя — spysoftnet. В вашем случае, конечно же, оно будет отличаться
Расположения профиля с данными:
1 2 |
C:\Users\spysoftnet\AppData\Local\Google\Chrome\User Data\Default C:\Users\spysoftnet\AppData\Local\Google\Chrome\User Data\ChromeDefaultData |
История посещений/поиска/скачиваний:
1 2 |
C:\Users\spysoftnet\AppData\Local\Google\Chrome\User Data\Default\History C:\Users\spysoftnet\AppData\Local\Google\Chrome\User Data\ChromeDefaultData\History |
Cookies [SQLite Database]:
1 2 |
C:\Users\spysoftnet\AppData\Local\Google\Chrome\User Data\Default\Cookies C:\Users\spysoftnet\AppData\Local\Google\Chrome\User Data\ChromeDefaultData\Cookies |
Cache:
1 2 |
C:\Users\spysoftnet\AppData\Local\Google\Chrome\User Data\Default\Cache C:\Users\spysoftnet\AppData\Local\Google\Chrome\User Data\ChromeDefaultData\Cache |
Закладки [JSON]:
1 2 |
C:\Users\spysoftnet\AppData\Local\Google\Chrome\User Data\Default\Bookmarks C:\Users\spysoftnet\AppData\Local\Google\Chrome\User Data\ChromeDefaultData\Bookmarks |
Веб формы [SQLite Database]:
1 2 |
C:\Users\spysoftnet\AppData\Local\Google\Chrome\User Data\Default\Web Data C:\Users\spysoftnet\AppData\Local\Google\Chrome\User Data\ChromeDefaultData\Web Data |
Favicons [SQLite Database]:
1 2 |
C:\Users\spysoftnet\AppData\Local\Google\Chrome\User Data\Default\Favicons C:\Users\spysoftnet\AppData\Local\Google\Chrome\User Data\ChromeDefaultData\Favicons |
Логины [SQLite Database]:
1 |
C:\Users\spysoftnet\AppData\Local\Google\Chrome\User Data\ChromeDefaultData\Login Data |
Данные сессий (Текущая сессия/Вкладки):
1 2 3 4 |
C:\Users\spysoftnet\AppData\Local\Google\Chrome\User Data\Default\Current Session C:\Users\spysoftnet\AppData\Local\Google\Chrome\User Data\ChromeDefaultData\Current Session C:\Users\spysoftnet\AppData\Local\Google\Chrome\User Data\Default\Current Tabs C:\Users\spysoftnet\AppData\Local\Google\Chrome\User Data\ChromeDefaultData\Current Tabs |
Данные сессий (Предыдущие сeссии/Вкладки):
1 2 3 4 |
C:\Users\spysoftnet\AppData\Local\Google\Chrome\User Data\Default\Last Session C:\Users\spysoftnet\AppData\Local\Google\Chrome\User Data\ChromeDefaultData\Last Session C:\Users\spysoftnet\AppData\Local\Google\Chrome\User Data\Default\Last Tabs C:\Users\spysoftnet\AppData\Local\Google\Chrome\User Data\ChromeDefaultData\Last Tabs |
Расширения и аддоны:
1 2 |
C:\Users\spysoftnet\AppData\Local\Google\Chrome\User Data\Default\Extensions\ C:\Users\spysoftnet\AppData\Local\Google\Chrome\User Data\ChromeDefaultData\Extensions\ |
Превью сайтов [SQLite Database]:
1 |
C:\Users\spysoftnet\AppData\Local\Google\Chrome\User Data\Default\Top Sites |
Извлечение данных из браузера Edge
Расположения профиля с данными:
1 |
C:\Users\spysoftnet\AppData\Local\Packages\Microsoft.MicrosoftEdge_spysoftnet\AC |
История посещений/Cookies/скачивания [ESE Database]:
1 |
C:\Users\spysoftnet\AppData\Local\Microsoft\Windows\WebCache\WebCacheV01.dat |
Настройки/Закладки/Список для чтения [ESE Database]:
1 |
C:\Users\spysoftnet\AppData\Local\Packages\Microsoft.MicrosoftEdge_spysoftnet\AC\MicrosoftEdge\User\Default\DataStore\Data\nouser1\spysoftnet\DBStore\spartan.edb |
Cache:
1 |
C:\Users\spysoftnet\AppData\Local\Packages\Microsoft.MicrosoftEdge_spysoftnet\AC\#!spysoftnet\MicrosoftEdge\Cache |
Данные сессий (Последняя активная сессия):
1 |
C:\Users\spysoftnet\AppData\Local\Packages\Microsoft.MicrosoftEdge_spysoftnet\AC\MicrosoftEdge\User\Default\Recovery\Active |
Извлечение данных из браузера Firefox
Расположения профиля с данными:
1 2 |
C:\Users\spysoftnet\AppData\Roaming\Mozilla\Firefox\Profiles\[profileID].default\ C:\Users\spysoftnet\AppData\Local\Mozilla\Firefox\Profiles\[profileID].default\ |
История посещений/Закладки [SQLite Database]:
1 |
C:\Users\spysoftnet\AppData\Roaming\Mozilla\Firefox\Profiles\[profileID].default\places.sqlite |
Бэкап закладок [Папка / .jsonlz4 файлы]:
1 |
C:\Users\spysoftnet\AppData\Roaming\Mozilla\Firefox\Profiles\[profileID].default\bookmarkbackups\ |
Cookies [SQLite Database]:
1 |
C:\Users\spysoftnet\AppData\Roaming\Mozilla\Firefox\Profiles\[profileID].default\cookies.sqlite |
Cache:
1 2 |
C:\Users\spysoftnet\AppData\Local\Mozilla\Firefox\Profiles\[profileID].default\cache2\entries C:\Users\spysoftnet\AppData\Local\Mozilla\Firefox\Profiles\[profileID].default\startupCache |
Веб формы [SQLite Database]:
1 |
C:\Users\spysoftnet\AppData\Roaming\Mozilla\Firefox\Profiles\[profileID].default\formhistory.sqlite |
Расширения и аддоны [SQLite Database]:
1 2 |
C:\Users\spysoftnet\AppData\Roaming\Mozilla\Firefox\Profiles\[profileID].default\addons.sqlite C:\Users\spysoftnet\AppData\Roaming\Mozilla\Firefox\Profiles\[profileID].default\extensions.sqlite |
Favicons [SQLite Database]:
1 |
C:\Users\spysoftnet\AppData\Roaming\Mozilla\Firefox\Profiles\[profileID].default\favicons.sqlite |
Настройки:
1 |
C:\Users\spysoftnet\AppData\Roaming\Mozilla\Firefox\Profiles\[profileID].default\prefs.js |
Логины [JSON File]:
1 |
C:\Users\spysoftnet\AppData\Roaming\Mozilla\Firefox\Profiles\[profileID].default\logins.json |
Пароли [JSON File]:
1 |
C:\Users\spysoftnet\AppData\Roaming\Mozilla\Firefox\Profiles\[profileID].default\key4.db |
Текущая сессия:
1 2 |
C:\Users\spysoftnet\AppData\Roaming\Mozilla\Firefox\Profiles\[profileID].default\sessionstore.jsonlz4 C:\Users\spysoftnet\AppData\Roaming\Mozilla\Firefox\Profiles\[profileID].default\sessionstore-backups\ |
Скачивания [SQLite Database]:
1 |
C:\Users\spysoftnet\AppData\Roaming\Mozilla\Firefox\Profiles\[profileID].default\downloads.sqlite |
Миниатюры:
1 |
C:\Users\spysoftnet\AppData\Local\Mozilla\Firefox\Profiles\[profileID].default\thumbnails |
Инструменты для извлечения данных из браузеров
- DB Browser for SQLite — это бесплатное кроссплатформенное приложение с графическим интерфейсом для работы с базами данных SQLite. DB Browser for SQLite удобен для просмотра, анализа и модификации данных в базах данных SQLite. Приложение работает на Windows, Linux, macOS. Исходный код доступен на GitHub.
- ESEDatabaseView — это бесплатная программа для просмотра и извлечения данных из баз данных ESE (Extensible Storage Engine). ESEDatabaseView позволяет эффективно просматривать и извлекать данные из БД ESE без использования ESQL. Это полезный инструмент для восстановления данных и форензики. Программа работает на ОС Windows. Распространяется бесплатно, в том числе в портативной версии.
- Session History Scrounger for Firefox — утилита для восстановления истории посещений сайтов из базы данных Firefox places.sqlite. Session History Scrounger может быть полезен в компьютерной криминалистике. Утилита работает в ОС Windows.
- Web Browser Tools — набор бесплатных утилит для извлечения данных из браузеров. Позволяют быстро извлечь интересующие данные из браузеров для анализа онлайн-активности.
- Hindsight — бесплатная утилита для анализа истории браузера Chrome на компьютерах под управлением Windows. Hindsight позволяет быстро восстановить активность пользователя Chrome.
- The LaZagne Project — библиотека для извлечения различных данных из операционных систем Windows, Linux, MacOS и браузеров. LaZagne упрощает сбор цифровых следов. Все модули работают в памяти без записи на диск.
- Browser History Capturer — это Windows утилита для сохранения и восстановления истории браузеров Internet Explorer, Mozilla Firefox, Google Chrome и Opera.
- Browser History Viewer — бесплатная программа для Windows, которая позволяет просматривать и анализировать историю браузеров Internet Explorer, Mozilla Firefox, Google Chrome, Safari, Opera.
Заключение
Важно обеспечить безопасность своих данных, используя надежные пароли и убедившись, что вы не храните чрезмерно чувствительную информацию, которая может быть скомпрометирована, если кто-то получит доступ к вашему устройству.
ПОЛЕЗНЫЕ ССЫЛКИ: