一种RDP缓存文件（*.bmc）取证分析方法

首先上2个工具github地址：

https://github.com/ANSSI-FR/bmc-tools

https://github.com/BSI-Bund/RdpCacheStitcher

bmc-tools

该工具用于分析RDP缓存文件*.bmc文件命令如下：

python bmc-tools.py -s "C:\Users\coder\AppData\Local\microsoft\Terminal Server Client\Cache\bcache24.bmc" -d c:\Users\coder\Desktop\rpd_cache

执行结果如下：

[+++] Processing a single file: 'C:\Users\coder\AppData\Local\microsoft\Terminal Server Client\Cache\bcache24.bmc'.
[===] 246 tiles successfully extracted in the end.
[===] Successfully exported 246 files.

此时C:\Users\coder\Desktop\rdp_cache文件夹下生成246个图片文件（*.bmp文件），可大概看出图片内容，类似待拼接的图片片段。

 

RdpCacheStitcher

该工具实现对上一步生成的*.bmp图片文件进行拼接，如下图：

                   

（需要耐心...）