포렌식/윈도우 - Windows 10 Artifacts - Web History

본 게시글은 인프런 '맥으로 배우는 윈도우즈 포렌식'를 참고하여 작성했습니다. (www.inflearn.com/course/forensic-2/dashboard)

 

맥으로 배우는 윈도우즈 포렌식 - 인프런

#1. Web History

1-1. Web History 란?

설명이 필요한가?

 

아래는 IE 기준 파일이다. WebCacheV01.dat 파일은 EseDbViewer로 보면 편하게 볼 수 있다.

 

 

다만, WebCacheV01.dat의 모든 정보가 다 Web History에 관한 파일은 아니다. 아래 사진과 Directory/Value가 맞는 것만이 Web History에 관한 정보이고 추가로 캐시나 쿠키 다운로드 기록등도 눈여겨 볼만하다. 

강의에서는 ese.py 파일을 이용하여 직접 webcachev01.dat 파일을 파싱했다.

 

ese.py는 크게 아래와 같이 코딩되어 있다.

 

여기서는 왜 log2timeline , plaso를 안썼냐?

걔네가 이 파일을 파싱하지 못하기 때문이다. 그래서 파싱하는 코드를 만들었다.

이런식으로 도구가 지원하지 않는 것은 코드로 구현하는 것이 필요하다.

 

 

 

 

끝.