eseDBexport的使用

eseDBexport的使用

最近的一个任务中需要对一种.dat的数据库进行解析:WebCacheV01.dat，是windows10平台下存储系统浏览器cache、history等信息的数据库文件。

打开工具：ESEDatabaseView.exe

导出工具：esedbexport(下载地址：libesedb)

libesedb的全部功能我还没有完全弄明白，这次主要就是使用了其中的esedbexport工具。

介绍libesedb与edb文件

libesedb is a library to access the Extensible Storage Engine (ESE) Database File (EDB) format.

The ESE database format is used in may different applications like Windows Search, Windows Mail, Exchange, Active Directory, etc.

简单介绍eseDBexport在libesedb中的角色

以下是我个人的理解：libesedb是一个库，本是应用于linux平台下的。本文旨在在windows平台上使用其中的功能，用Visual studio 2017打开/msvscpp目录中的solution可以发现其中共包含了44个项目。本文要使用的esedbexport是其中的一个，但它又不是独立存在的，与其他的项目之间存在着千丝万缕的联系。

可以将esedbexport这个项目编译成exe可执行文件，然后就可以在windows平台上运行了。

编译eseDBexport

https://github.com/libyal/libesedb/wiki/Building

该文中介绍了很多种方法来编译eseDBexport，这也是使用eseDBexport的关键所在，这部分差点阻挡了我前进的脚步，还好有小伙伴对我的鼓励:smiley:

接下来分别介绍我在linux平台和windows平台上成功运行esedbexport的过程

Linux

Linux平台上的编译、安装和运行都比较方便，按照github上的过程就可以了，此外还有很多将esedbexport用于渗透测试的教程，里边也有很详细的使用过程。

这里我使用的不是官网上的教程，来源：从NTDS.dit获取密码hash的三种方法

wget https://github.com/libyal/libesedb/releases/download/20170121/libesedb-experimental-20170121.tar.gz
tar xf libesedb-experimental-20170121.tar.gz
cd libesedb-20170121
apt-get install autoconf automake autopoint libtool pkg-config
./configure
make
make install
ldconfig

整个过程都比较方便，安装完成后，我们就可以利用该工具从WebCacheV01.dat文件中转储表格了。命令如下：

esedbexport -m tables WebCacheV01.dat

也可以通过esedbexport help查看使用说明。

上边的命令会在esedbexport文件目录下生成一个WebCacheV01.dat.export目录，该目录下即为导出的多个表格。

也可以指定输出目录：

esedbexport -m tables -t 目标文件 WebCacheV01.dat

Windows

原文中提供了三种在windows下编译libesedb的方式：

• MinGW。如果使用MinGW会生成：libesedb-1.dll文件、esedbexport.exe、esedbinfo.exe。按理应该是这样的，我尝试的时候可能是因为还不知道dll和exe之间如何合作,,,,,,,,未果。现在看来，生成的esedbexport应该是直接可执行的……有机会的话再试试啊

• MSYS-MinGW。如果使用msys的话，应该是可以安装好的(它的整个过程和linux平台上基本一致，包括命令也很像，这里需要注意的是一个平台的兼容问题)。后边有句话就不是很理解了：

  Make sure you use define LIBESEDB_DLL_IMPORT before including