アクティビティを削除し、ActivitiesCache.db内でどのような変化が発生するかを確認します。テスト環境は Win 10 1803 です。 サンプルのJPEG画像ファイルを参照し、アクティビティを作成します。 Activityテーブルでレコードを確認します。38番レコードにJP…

Windows 10 Ver 1803 の Timeline 機能が利用している ActivitiesCache.db を確認したいと思います。 サンプルのアクティビティを作成します。Photosアプリケーションでサンプル画像を参照します。 ActivitiesCache.db ファイルは下記フォルダにあります。（…

JumpList 内の DestList を確認します。DestListのDirectory entry(128byte)は下記になります。 44006500730074004C00690073007400000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000 ⇒ DestList12 00 ⇒ 18…

「JumpList と The allocation table」の続きです。 次のDirectory entry(128byte)をパースしてみます。 31000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000 ⇒ 1 04 00 ⇒ …

JumpListのファイル構造続き。SAT(Sector Allocation Table)を確認します。 「Object Linking and Embedding (OLE) Compound File (CF) format specification」を参照しています。 Master Sector Allocation Table (MSAT)はオフセット76から開始されており、…

これも古い話題ですが :-)、JumpListのファイル形式について確認します。JumpListファイルの詳細については、参考URLの記事を参照してください。 下記図は、Windows 10環境でAutomaticDestinationsフォルダ配下にあるf01b4d95cf55d32a.automaticDestinations…

Registry Miner を利用し、レジストリファイルからタイムスタンプを採掘します。 サンプルのSYSTEMハイブに対して、Registry Miner を実行します。”starting timestamp”で指定した日時以降の、タイムスタンプを含むキーや値が採掘されます。 # ./registry-mi…

LNKファイル内のShell Itemに含まれる、タイムスタンプ形式を確認します。 LEcmdを利用し、LNKファイルに含まれるタイムスタンプを確認します。フォルダCaseと、P1060117.jpgのタイムスタンプ情報を確認できます。 「LNKとShell item」を参考に、Caseフォル…

LNKファイルのProperty Store構造を確認します。 サンプルJPEGファイルを準備します。このJPEGファイルはEXIF情報を含んでいます。 サンプルJPEGファイルのショートカットを作成します。 作成したショートカットファイルを LEcmd でパースし、Property store…

LNKファイルのShell item構造を確認します。 USBメモリ上にある、Example.jpgを参照し、RecentフォルダにLNKファイルを生成します。 Windows Shortcut File format specification を参考に、LNKファイルのFile headerを確認します。オフセット20からの4バイ…

レジストリファイルのAccess Bitsを確認します。検証環境はWindows 10 1709です。 サンプルのレジストリキーをHKCU(NTUSER.DAT)配下に作成します。 yarp-printを利用し、Exampleキーを作成したNTUSER.DATをパースします。ExampleキーのAccess Bits値は2とな…

Registry Explorerを利用する事で、レジストリのトランザクションログファイルを反映したハイブファイルを作成できます。 トランザクションログを反映した、SYSTEMハイブファイルを利用し、タイムラインを作成してみます。 トランザクションログを反映したSY…

HKLM\SYSTEM\CurrentControlSet\Services\bam\ キーを引き続き確認します。今回はレジストリのTransaction Logを、Registry Explorer/RECmd Version 1.0.0.0を使って参照したいと思います。 Live環境でのトランザクションログの取得には、RawCopyを利用しま…

HKLM\SYSTEM\CurrentControlSet\Services\bam\ キーに記録される、プログラム実行の痕跡について検証された記事が下記で参照できます。 padawan-4n6.hatenablog.com 私もこのレジストリキーについて検証してみたいと思います。テスト環境は Windows 10 ver 1…

Forensicistさんが、USN Analyticsツールを公開されています。USN Analytics ツールは、$J をパースするだけでなく、フォルダ構造も解析してくれます。 つまり、$MFT ファイルを利用せずに、フォルダ構造をある程度再現できます。 サンプルのフォルダ構造を…

NTFS の Fixup 値と update sequence について確認します。Fixup については NTFS Documentation を参照します。 サンプルの画像ファイル coin.jpg を E: ドライブへコピーし、MFT ファイルでFile レコードを確認します。coin.jpg ファイルの File レコード…

「Folderと$BITMAP (0xB0)」の続きです。 Windowsフォルダの $BITMAP (0xB0) は下記の状態です。VCN 0 から VCN 5 までが利用されている事を確認できます。 3F 00 00 00 00 00 00 00↓ 0 0 1 1 1 1 1 1 ⇒ Bitmap ⇒ クラスタの利用状況 LCNとVCNの関係は下記と…

フォルダの$BITMAP属性について確認します。 まず、「Windows」フォルダのMFTレコード番号（FILEレコード番号）を確認します。 $MFT内でオフセット1375232に移動し、$Bitmap属性を探します。 $INDEX_ROOT (0x90)があります。$I30という名前が設定されていま…

Windows 10 1709 環境の Thumbnail Index ファイルを確認します。残念ながら、不完全なパース結果となっています。 サンプルファイル thumbcache_idx.db を参照します。ファイルフォーマットについては、「Windows Explorer Thumbnail Cache database format…

Windows 10 ver 1709 環境上における、ThumbnailCacheId とサムネイルキャッシュの関係を確認します。 キャッシュされているサムネイルデータをThumbcache Viewer を使い確認します。 thumbcache_768.db内には2件の画像がキャッシュされています。 C:\Users\…

Windows 10 1709 環境の Thumbnail Cache ファイルをテストします。サンプルの JPEG画像をPreview Paneで表示します。 ユーザーのプロファイルフォルダ配下に、thumbcacheファイルが作成されている事を確認します。 C:\Users\forensics\AppData\Local\Micros…