想要做好取证分析工作,工具和技术只是辅助,思路才是核心和重点。本文将详细分享Microsoft Windows操作系统的基础数字取证知识,了解数据的存放位置和对应部件,便于快速确定关键证据,内容包括windows时间规则、文件下载、程序执行、文件删除/文件信息、浏览器资源、外部设备/USB使用、账户使用情况、文件/文件夹打开、网络活动/物理位置。
◆◆
文章精华大合集
◆◆
01
windows 时间规则
1
标准信息
创建文件:文件修改、文件访问、文件metadata时间改变
访问文件:文件访问时间改变(NTFS win7+不变)
文件修改:文件修改,文件metadata时间改变
文件重命名:文件metadata时间改变
拷贝文件:文件修改时间继承自原始,文件访问,文件metadata,文件创建时间改变
文件移动:
1)同卷移动文件:文件metadata时间改变
2)跨卷移动文件
• 通过系统命令:修改时间来自原始文件,文件访问,文件metadata,文件创建时间改变
• 通过复制粘贴:文件修改,文件metadata,文件创建都来自原始文件,访问时间为复制粘贴时间
02
文件下载
1
打开/保存传输单元
XP:NTUSER.DAT\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSaveMRU
Win7/8/10:
NTUSER.DAT\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSavePIDlMRU
2
电子邮件附件:outlook
XP:
%USERPROFILE%\LocalSettings\ApplicationData\Microsoft\Outlook
Win7/8/10:
%USERPROFILE%\AppData\Local\Microsoft\Outlook
OLK:
HKEY_CURRENT_USER\Software\Microsoft\Office\对应版本\Outlook\Security
3
微信桌面版
C:\Users\<username>\Documents\WeChat Files\微信号\Files
4
QQ电脑版
C:\Users\<username>\Documents\Tencent Files\QQ号\FileRecv
5
skype历史
XP:
C:\Documents and Settings\<username>\Application\Skype\<skype-name>
Win7/8/10:
C:\%USERPROFILE%\AppData\Roaming\Skype\<skype-name>
6
浏览器
1)internet explorer
IE8-9:
%USERPROFILE%\AppData\Roaming\Microsoft\Windows\IEDownloadHistory\index.dat
IE10-11:
%USERPROFILE%\AppData\Local\Microsoft\Windows\WebCache\WebCacheV*.dat
2)firefox
v3-25:
%userprofile%\AppData\Roaming\Mozilla\ Firefox\Profiles\<random text>.default\downloads.sqlite
v26+:
%userprofile%\AppData\Roaming\Mozilla\ Firefox\Profiles\<random text>.default\places.sqlite Table:moz_annos
3)chrome
Win7/8/10:
%USERPROFILE%\AppData\Local\Google\Chrome\User Data\Default\History
7
下载(firefox,internet Explorer)管理器
1)firefox
XP:
%userprofile%\Application Data\Mozilla\ Firefox\Profiles\<random text>.default\downloads.sqlite
Win7/8/10:
%userprofile%\AppData\Roaming\Mozilla\ Firefox\Profiles\<random text>.default\downloads.sqlite
2)Internet Explorer
IE8-9:
%USERPROFILE%\AppData\Roaming\Microsoft\Windows\ IEDownloadHistory\
IE10-11:
%USERPROFILE%\AppData\Local\Microsoft\Windows\WebCache\ WebCacheV*.dat
8
ADS Zone.Identifier(备用数据流)
从XP SP2开始,当文件通过浏览器从“Internet区域”下载到NTFS卷时,会向文件中添加备用数据流。
03
程序执行
1